JBoss 相互证书身份验证在 SSL 握手时失败

Posted 2023-02-19

【中文标题】JBoss 相互证书身份验证在 SSL 握手时失败

【英文标题】：JBoss mutual certificate authentication fails on SSL Handshake

【发布时间】：2012-03-02 20:23:58

【问题描述】：

除了我使用的是 JBoss7.0.2 而不是 6.x 版本之外，我遵循了这篇博文 http://virgo47.wordpress.com/2010/08/23/tomcat-web-application-with-ssl-client-certificates/ 中的所有步骤。

目标是要求任何客户端提供客户端证书，并实现客户端和服务器之间的相互认证。

我创建了一个证书颁发机构 (CA) 来签署客户端和服务器证书。

我已将服务器证书导入密钥库，并在standalone.xml 配置文件中添加了一个 HTTPS 连接器，以便在 8443 端口上处理 HTTPS 请求。

我已将 CA 根证书导入到客户端 Firefox 中 Authorities 下的证书管理器中。

一切正常，当我请求https://localhost:8443 时，我得到一个带有有效服务器证书的页面。

问题是，当我将客户端证书导入 Firefox 的证书管理器并设置服务器配置以验证客户端证书（standalone.xml 中的verify-client="true"）时，出现浏览器错误：

Secure Connection Failed:
An error occurred during a connection to localhost:8443.
SSL peer cannot verify your certificate.
(Error code: ssl_error_bad_cert_alert)

而服务器上的 jboss 日志状态：

11:01:31,142 DEBUG [org.apache.tomcat.util.net.JIoEndpoint] (http-localhost-127.0.0.1-8443-1) Handshake failed: java.io.IOException: SSL handshake failed. Ciper suite in SSL Session is SSL_NULL_WITH_NULL_NULL
at org.apache.tomcat.util.net.jsse.JSSESocketFactory.handshake(JSSESocketFactory.java:191) [jbossweb-7.0.1.Final.jar:7.0.2.Final]
at org.apache.tomcat.util.net.JIoEndpoint.setSocketOptions(JIoEndpoint.java:1144) [jbossweb-7.0.1.Final.jar:7.0.2.Final]
at org.apache.tomcat.util.net.JIoEndpoint$Worker.run(JIoEndpoint.java:952) [jbossweb-7.0.1.Final.jar:7.0.2.Final]
at java.lang.Thread.run(Thread.java:662) [:1.6.0_30]

你知道如何解决这个问题吗？

我的设置：

本地主机服务器：

sovo@sovo-pc:~$ cat /etc/issue
Ubuntu 10.10

JBoss 7.0.2 Finalstandalone.xml（相关部分）：

<management>
    <security-realms>
        <security-realm name="PropertiesMgmtSecurityRealm">
            <authentication>
                <properties path="mgmt-users.properties" relative-to="jboss.server.config.dir"/>
            </authentication>
        </security-realm>
    </security-realms>
    <management-interfaces>
        <native-interface interface="management" port="9999"/>
        <http-interface interface="management" port="9990"/>
    </management-interfaces>
</management>
<profile>
    <subsystem xmlns="urn:jboss:domain:security:1.0">
        <security-domains>
            <security-domain name="other" cache-type="default">
                <authentication>
                    <login-module code="Disabled" flag="required"/>
                </authentication>
            </security-domain>
        </security-domains>
    </subsystem>
    <subsystem xmlns="urn:jboss:domain:web:1.0" default-virtual-server="default-host">
        <connector name="https" protocol="HTTP/1.1" socket-binding="https" scheme="https" enable-lookups="false" secure="true">
            <ssl name="ssl" key-alias="sercer" password="changeit" certificate-key-file="/usr/share/jboss7.0.2/standalone/configuration/certificates/keystore.jks" protocol="TLSv1" verify-client="true" ca-certificate-file="/usr/share/jboss7.0.2/standalone/configuration/certificates/cacerts.jks"/>
        </connector>
        <virtual-server name="default-host" enable-welcome-root="true">
            <alias name="localhost"/>
            <alias name="example.com"/>
        </virtual-server>
    </subsystem>
    <subsystem xmlns="urn:jboss:domain:weld:1.0"/>
</profile>
<interfaces>
    <interface name="management">
        <inet-address value="$jboss.bind.address.management:127.0.0.1"/>
    </interface>
    <interface name="public">
        <inet-address value="$jboss.bind.address:127.0.0.1"/>
        <inet-address value="$jboss.bind.address:localhost"/>
    </interface>
</interfaces>
<socket-binding-group name="standard-sockets" default-interface="public">
    <socket-binding name="http" port="8080"/>
    <socket-binding name="https" port="8443"/>
    <socket-binding name="jmx-connector-registry" port="1090" interface="management"/>
    <socket-binding name="jmx-connector-server" port="1091" interface="management"/>
    <socket-binding name="jndi" port="1099"/>
    <socket-binding name="osgi-http" port="8090" interface="management"/>
    <socket-binding name="remoting" port="4447"/>
    <socket-binding name="txn-recovery-environment" port="4712"/>
    <socket-binding name="txn-status-manager" port="4713"/>
</socket-binding-group>

Java 版本：

sovo@sovo-pc:~$ java -version
java version "1.6.0_30"
Java(TM) SE Runtime Environment (build 1.6.0_30-b12)
Java HotSpot(TM) Server VM (build 20.5-b03, mixed mode)
sovo@sovo-pc:~$ javac -version
javac 1.6.0_30

如果需要，我很乐意提供其他相关信息。

【问题讨论】：

我已将此问题作为错误报告给 jboss.org。与此同时，我已降级到 jboss-6.1.0，一切正常。

没有更新之前的错误报告，但我尝试了 JBoss 7.1.0 版本，它就像一个魅力。

【参考方案1】：

您可能想尝试在您的 ssl 连接器中添加密码套件：

<ssl name="ssl" key-alias="sercer" password="changeit" certificate-key-file="/usr/share/jboss7.0.2/standalone/configuration/certificates/keystore.jks" protocol="TLSv1" verify-client="true" ca-certificate-file="/usr/share/jboss7.0.2/standalone/configuration/certificates/cacerts.jks" cipher-suite="AES+RSA"/>