Исправляем ошибку 'нет пути к цели' в Java и Glassfish

Быстрый ответ

Если вы столкнулись с ошибкой SSL-сертификата, импорт его в хранилище Java KeyStore позволит вам решить эту проблему следующим образом:

1. В первую очередь, вам необходимо извлечь сертификат:

   shell

   Скопировать код

   echo | openssl s_client -connect ХОСТ:ПОРТ | openssl x509 > myserver.crt

   Запустить код

   Примените ХОСТ и ПОРТ к реальным значениям вашего сервера.

2. Теперь вам нужно добавить сертификат в хранилище ключей:

   shell

   Скопировать код

   keytool -importcert -file myserver.crt -keystore ${JAVA_HOME}/lib/security/cacerts -alias "myserver"

   Запустить код

   Пароль для доступа к хранилищу по умолчанию — changeit, если вы его ранее не изменяли.

Прежде чем начать праздновать, проверьте следующее:

• Возможно ли записывать в файл cacerts.
• Совпадают ли учётные данные хранилища доверия с настройками JVM.
• Подойдёт ли место, куда вы переместили файл хранилища доверия.
• Если вы используете Glassfish, то убедитесь в правильности выбора файла cacerts.

Руководство по восстановлению порядка: Работаем с хранилищами Keystore и Trust Store

Правильная отладка SSL

Для включения отладки SSL используйте:

java -Djavax.net.debug=all -jar YourApplication.jar

Для более конкретной отладки можно использовать -Djavax.net.debug=ssl,handshake, которая даст вам информацию о рукопожатии, и -Djavax.net.debug=ssl:record для наблюдения за записями SSL.

Подробнее об этом расскажет наш спикер на видео

Различия между Keystore и Trust Store

Keystore хранит ваши ключи и сертификаты, тогда как trust store содержит сертификаты, которым вы доверяете.

Настройка Trust Store

Настройте trust store через системные свойства JSSE:

-Djavax.net.ssl.trustStore=путь_к_truststore
-Djavax.net.ssl.trustStorePassword=пароль_truststore

Убедитесь в доступности файла хранилища доверия и в корректности пароля для JVM.

Проверяем цепочку сертификатов сервера

Убедитесь, что в хранилище доверия присутствует цепочка сертификатов сервера.

Визуализация

Путь сертификации можно представить как очередь в аэропорту:

СЕРТ1️⃣ ➡️ СЕРТ2️⃣ ➡️ СЕРТ3️⃣ ➡️ Запрошенная Цель

Ошибка сертификации схожа с отказом в доступе:

СЕРТ1️⃣ ➡️ ❌ "Ваш регистрационный проход не удался!"

После получения сертификатов в правильном порядке, вы готовы к работе:

СЕРТ1️⃣ ➡️ СЕРТ2️⃣ (обновлён) ➡️ 🎉 "Вы готовы к полёту!"

Дополнительное важное замечание: Конфигурация доверительного хранилища вне Java

Серверные приложения и библиотеки в Java могут иметь свои настройки SSL.

Особенности отладки: Рукопожатие и записи

Для более глубокой отладки используйте -Djavax.net.debug=ssl:handshake или -Djavax.net.debug=ssl:record.

Ресурсы Оракла

Для углубленного изучения SSL обратитесь к Руководству по безопасности Java SE.

Некоторые дополнительные моменты, которые стоит учитывать

Особенности серверного приложения

Осознавайте SSL-требования вашего серверного приложения и его конфигурацию.

Права на запись – обязательны

Если у вас возникли проблемы с импортом сертификата, проверьте права на файл хранилища.

Использование утилит

Используйте Java утилиты, например, InstallCert.java, для автоматического импорта сертификатов.

Свойства безопасности Java

Устанавливайте и управляйте системными свойствами, такими как javax.net.ssl.keyStorePassword, и следите за их соответствующей конфигурацией.

Полезные материалы

1. Руководство по архитектуре криптографии Java (JCA) — информация о Java Keystores.
2. Руководство по JSSE (Java Secure Socket Extension) — руководство по использованию безопасных сокетов.
3. javax.net.ssl.SSLHandshakeException: sun.security.validator.ValidatorException — обсуждение решения исключения.
4. keytool — команды для работы с сертификатами.
5. Невозможно подключиться к SSL-сервисам из-за ошибки "PKIX Path Building Failed" — наиболее вероятные причины и способы решения этой проблемы.