Подключение Java-клиента к серверу с самоподписанным SSL

Быстрый ответ

Если вам необходимо работать с самоподписанными SSL-сертификатами в Java, то можно использовать собственный TrustManager. Создание X509TrustManager, игнорирующего все проверки сертификатов, настройка SSLContext с его помощью и установка этой SSLSocketFactory для соединения:

// Без проверок сертификатов — только для экспериментов и тестирования!
TrustManager[] trustAllCerts = new TrustManager[]{
  new X509TrustManager() {
    public void checkClientTrusted(X509Certificate[] chain, String authType) {}
    public void checkServerTrusted(X509Certificate[] chain, String authType) {}
    public X509Certificate[] getAcceptedIssuers() { return new X509Certificate[0]; }
  }
};

SSLContext sc = SSLContext.getInstance("SSL");
sc.init(null, trustAllCerts, new SecureRandom());
HttpsURLConnection.setDefaultSSLSocketFactory(sc.getSocketFactory());

Важно!: Отключение проверки SSL целесообразно лишь в окружении для тестирования. На реальной продакшн-среде вести себя подобным образом опасно.

Как обеспечить безопасное взаимодействие с самоподписанными сертификатами

Java-клиенты требуют особого уровня доверия к SSL/TLS сертификату сервера. В свою очередь, самоподписанные сертификаты не имеют поддержки от доверенных центров сертификации (CA), и поэтому их менее предпочтительно использовать в Java. Однако, иногда приходится принимать и эти самоподписанные сертификаты.

Добавление сертификатов в хранилище ключей Java

Для вручную добавления самоподписанного сертификата сервера в хранилище ключей Java (KeyStore) являющихся TrustStore, вы можете воспользоваться инструментом keytool:

keytool -import -alias "myserver" -file myserver.crt -keystore mycacerts.jks -storepass changeit

Подробнее об этом расскажет наш спикер на видео

Настройка TrustManager для досконального доверия

Ваш собственный TrustManager может обрабатывать сертификаты так же обдуманно, как, например, винодел критически подходит к отбору винограда для производства винтажного вина. Доверяйте только тем самоподписанным сертификатам, которые соответствуют записям в вашем TrustStore.

TrustManagerFactory tmf = TrustManagerFactory.getInstance(TrustManagerFactory.getDefaultAlgorithm());
KeyStore ks = KeyStore.getInstance(KeyStore.getDefaultType());
FileInputStream fis = new FileInputStream("mycacerts.jks"); // Загрузка TrustStore
ks.load(fis, "storepass".toCharArray());

tmf.init(ks); // Инициализация TrustManager с KeyStore
SSLContext sc = SSLContext.getInstance("TLS");
sc.init(null, tmf.getTrustManagers(), new SecureRandom()); // И вуаля! Ваш собственный SSLContext готов!

Интеграция с Apache HttpClient

Если вам привычнее работать с Apache HttpClient 4.5+, можно инициализовать встроенные SSLContext и TrustSelfSignedStrategy, чтобы подготовить связь первого с использованием самоподписанных сертификатов:

SSLContextBuilder sslContextBuilder = new SSLContextBuilder()
    .loadTrustMaterial(new TrustSelfSignedStrategy());

Таким образом, достигается наиболее безопасное взаимодействие с экземпляром HttpClient:

CloseableHttpClient httpclient = HttpClients.custom()
        .setSSLSocketFactory(new SSLConnectionSocketFactory(sslContextBuilder.build()))
        .build();

Давайте поговорим о вопросах доверия: проверяем имя хоста

Проверка имени хоста — это неотъемлемый элемент SSL/TLS. Java внимательно проверяет, чтобы общее имя указанное в сертификате соответствовало имени хоста сервера.

Отключение проверки имени хоста

Если вам нужно отключить проверку имени хоста, делайте это только в некритичных ситуациях. Вот так это можно выполнить:

HttpsURLConnection.setDefaultHostnameVerifier ((hostname, session) -> true);

Безопасный подход к проверке имени хоста

Для сохранения доверия и безопасности включите логику в код вашего HostnameVerifier так, чтобы сертификату признавалось только ожидаемое имя хоста, вместо полного отключения проверки.

Лучшие практики и рекомендации

• Следуйте проторенной дорожке: Для продакшена используйте сертификаты, подписанные доверенными CA.
• Учитывайте особенности сред: В зависимости от серверной среды (JBoss, Tomcat и т.д.) подходы могут отличаться.
• Ограничивайте изменения параметров доверия: Старайтесь сократить количество таких изменений до минимума и не вызывайте стандартную SSL-фабрику без крайней необходимости.

Визуализация

Для лучшего понимания представим происходящее через аналогию: поезд (🚂), который берет на борт пассажиров (🎫) с специальными пропусками. Вот иллюстрация процесса в виде эмодзи:

🚂 = Java-клиент
🎫 = Самоподписанный SSL-сертификат
👮‍♂️ = TrustManager в Java

Рассмотрим сценарии:

До: 🚂 не пускает 🎫 на борт. (👮‍♂️ говорит: "Без билета — без поездки!")
После: 🚂 впускает 🎫 на борт. (👮‍♂️ говорит: "Этот пропуск действителен!")

Мы стараемся научиться доверять этим специальным пропускам (🎫), даже если они не от официальных инстанций.

🚂💡 = Реализация собственного TrustManager
🚂✅🎫 = Настройка безопасного соединения

Полезные материалы

1. JSSE Reference Guide — Познайте искусство SSL и сертификатов с помощью этого руководства.
2. keytool — Управление ключами станет проще с данной документацией по keytool.
3. Keystore location? – Stack Overflow — Узнайте об особенностях импорта сертификатов.
4. Java™ SE Development Kit 8 – Release Notes — Практическое руководство по последним обновлениям JSSE.
5. Java program to check IP address range – GitHub — Отличный пример того, как создаются доверительные связи с сертификатами в HttpClient.
6. How to handle SSL Handshake exceptions? – Stack Overflow — Обсуждение обработки исключений при SSL рукопожатии на Stack Overflow.
7. Disable Certificate Validation – nakov.com — Как научить Java доверять любым сертификатам, руководство от Nakov.