如何使 CLIENT-CERT SSL 重新协商在 Jetty 中工作？

Posted 2023-02-22

【中文标题】如何使 CLIENT-CERT SSL 重新协商在 Jetty 中工作？

【英文标题】：How can I make CLIENT-CERT SSL renegotiation work in Jetty?

【发布时间】：2013-01-02 18:08:14

【问题描述】：

我有一个 web 应用程序，它有一个公共 https 区域和一个使用 SSL 重新协商的客户端证书保护的私有 https。 此配置在带有 APR 的 Tomcat 7 中正常工作（并非没有大量工作）。

现在我正在与 Jetty 合作，我已经尝试了所有方法，但无法成功。

客户端证书对话框永远不会出现在浏览器中，而且我总是收到 HTTP 403 错误。

我的环境是： JDK 1.7.0.02 jetty 9.0.0.M3 使用 m2e 从 Eclipse Helios 启动。 （码头：运行）

服务器似乎启用了 SSL 重新协商，并按照here 指示对其进行了测试，因此我很确定 SSL 重新协商安全问题没有问题。

我已经覆盖了 ClientCertAuthenticator（以便能够调试）并创建了一个自定义 LoginService，看起来 X509Cert 从未出现在请求中。

似乎从未触发 SSL 重新协商，并且身份验证失败，因为请求中没有证书。

配置的 LoginService 只是对每个验证返回 true。如果有人问，我也可以发布它们，但重要的方法永远不会被调用。

如果我使用 needCLientCert 或 wantClientCert 应用程序可以正常工作，但是浏览器会在公共区域要求证书。

我的配置文件：

web.xml：http://pastebin.com/LQ3RcWY4

jetty.xml：http://pastebin.com/iE9xqcLq

jetty-context.xml：http://pastebin.com/rcSsBfRW

pom.xml（码头部分）：http://pastebin.com/wBLATggq

我是否遗漏了一些明显的东西？我不知道。我进行了很多搜索并尝试了许多可能的配置，但是没有运气。

【参考方案1】：

http://docs.codehaus.org/display/JETTY/Jetty+Security

通过在 Jetty 中关闭 SSL 重新协商来解决问题。如果使用 JVM > 1.6u19 setAllowRenegotiate(true) 可以在连接器上调用

你打开你的服务器以接受 BEAST 攻击。