我有一个Java客户端试图使用自签名证书访问服务器。
当我试图发布到服务器，我得到以下错误:
无法找到请求目标的有效认证路径
在对这个问题做了一些研究之后，我做了以下工作。
保存我的服务器域名为根。cer文件。 在我的Glassfish服务器的JRE中，我运行了这个: Keytool -import -alias example -keystore cacerts -file root.cer 为了检查证书是否成功添加到我的cacert，我这样做: Keytool -list -v -keystore cacerts 我可以看到证书是存在的。 然后我重新启动Glassfish并重新尝试“post”。
我还是得到同样的错误。
我有一种感觉，这是因为我的Glassfish实际上没有读取我修改过的cacert文件，但可能是其他一些文件。
你们中有人遇到过这样的问题吗，可以帮我找到正确的方向吗?
当前回答
在我的情况下，我得到错误连接到AWS Gov Postgres RDS。GOV RDS CA证书有一个单独的链接- https://s3.us-gov-west-1.amazonaws.com/rds-downloads/rds-combined-ca-us-gov-bundle.pem
将此pem certs添加到java的cacerts中。您可以使用下面的脚本。
——WINDOWDS步骤
使用VSCODE编辑器，安装openssl, keytool插件 在C:/rds-ca目录下创建目录 将“cacerts”文件和下面的脚本文件-“addCerts.sh”在目录“rd-ca” 运行vscode: 4.1 CD /c/rds-ca/ . 4.2。/ addCerts.sh 拷贝cacerts到${JAVA_HOME}/jre/lib/security目录下
脚本代码:
#!/usr/bin/env sh
OLDDIR="$PWD"
CACERTS_FILE=cacerts
cd /c/rds-ca
echo "Downloading RDS certificates..."
curl https://s3.us-gov-west-1.amazonaws.com/rds-downloads/rds-combined-ca-us-gov-bundle.pem > rds-combined-ca-bundle.pem
csplit -sk rds-combined-ca-bundle.pem "/-BEGIN CERTIFICATE-/" "{$(grep -c 'BEGIN CERTIFICATE' rds-combined-ca-bundle.pem | awk '{print $1 - 2}')}"
for CERT in xx*; do
# extract a human-readable alias from the cert
ALIAS=$(openssl x509 -noout -text -in $CERT |
perl -ne 'next unless /Subject:/; s/.*CN=//; print')
echo "importing $ALIAS"
keytool -import \
-keystore $CACERTS_FILE \
-storepass changeit -noprompt \
-alias "$ALIAS" -file $CERT
done
cd "$OLDDIR"
echo "$NEWDIR"
其他回答
不幸的是——这可能是很多事情——很多应用服务器和其他java“包装器”都倾向于玩弄属性和他们自己的钥匙链等。所以它可能会看一些完全不同的东西。
少了桁架-我会试试:
java -Djavax.net.debug=all -Djavax.net.ssl.trustStore=trustStore ...
看看这是否有用。除了“all”，还可以将其设置为“ssl”，密钥管理器和信任管理器-这可能对您的情况有帮助。在大多数平台上，将它设置为“帮助”会列出如下内容。
无论如何，一定要确保您完全理解密钥存储库(其中有您用来证明自己身份的私钥和证书)和信任存储库(它决定您信任谁)之间的区别，以及您自己的身份也有一个到根的信任“链”，这与您需要确定您信任“谁”的根的任何链是分开的。
all turn on all debugging
ssl turn on ssl debugging
The following can be used with ssl:
record enable per-record tracing
handshake print each handshake message
keygen print key generation data
session print session activity
defaultctx print default SSL initialization
sslctx print SSLContext tracing
sessioncache print session cache tracing
keymanager print key manager tracing
trustmanager print trust manager tracing
pluggability print pluggability tracing
handshake debugging can be widened with:
data hex dump of each handshake message
verbose verbose handshake message printing
record debugging can be widened with:
plaintext hex dump of record plaintext
packet print raw SSL/TLS packets
来源:#见http://download.oracle.com/javase/1.5.0/docs/guide/security/jsse/JSSERefGuide.html#Debug
您需要配置JSSE系统属性，特别是指向客户端证书存储。
通过命令行:
java -Djavax.net.ssl.trustStore=truststores/client.ts com.progress.Client
或者通过Java代码:
import java.util.Properties;
...
Properties systemProps = System.getProperties();
systemProps.put("javax.net.ssl.keyStorePassword","passwordForKeystore");
systemProps.put("javax.net.ssl.keyStore","pathToKeystore.ks");
systemProps.put("javax.net.ssl.trustStore", "pathToTruststore.ts");
systemProps.put("javax.net.ssl.trustStorePassword","passwordForTrustStore");
System.setProperties(systemProps);
...
更多详情请参阅RedHat网站。
我在我的windows 10笔记本电脑上创建了一个ubuntu，当我试图从https://github.com/yahoo/CMAK网站加载CMAK网站下载时遇到了问题。首先，它给出了致命的ssl错误。
openssl s_client -showcerts -servername github.com -connect github.com:443 </dev/null 2>/dev/null | sed -n -e '/BEGIN\ CERTIFICATE/,/END\ CERTIFICATE/ p' > github-com.pem
并使用以下命令(确保您为ca-cert设置了正确的路径)
cat github-com.pem | sudo tee -a /etc/ssl/certs/ca-certificates.crt
然后使用以下语句(确保cert的路径正确):
git config --global http.sslCAinfo /etc/ssl/certs/ca-certificates.crt
然后我能够下载CMAK，但当我尝试。/sbt清洁语句时遇到了问题。它给出了一个pkix路径错误。原因是我的cacert文件中没有存储我的公司颁发证书。
我已经下载了公司证书(谷歌)，并根据本文将下载的证书添加到cacert文件中。使用sudo update-ca-certificates之前一次。/ sbt。这对我很管用。
注意:在执行以上步骤时，您可能需要在root和exit之间切换。
我在试图从我的应用程序访问https url时遇到了这个错误，该应用程序正在使用自签名证书。 他们提供的是一个.cert文件，我不知道该把它放在哪里。我是这样解决的:
keytool的位置在JDK/bin文件夹下
方法1:将证书添加到默认的Java信任库- cacerts:
keytool -import -alias myCert -file C://certificate.cert -keystore C://Program Files//Java//jdk1.8.0_271//jre//lib//security//cacerts
密码:changeit
方法2:
创建信任存储:
keytool -import -alias myCert -file C://certificate.cert -keystore myTrustStore
它会给你以下提示，可以填充为:
Enter keystore password:changeit
Re-enter new password:changeit
Trust this certificate?yes
这将在运行此命令的文件夹中创建一个myTrustStore文件。 将这个“mytrustStore”复制到一个方便的位置。
使用信任存储:
当你运行你的应用程序/服务器时，传递这些JVM参数:
-Djavax.net.ssl.trustStore=C://myTrustStore -Djavax.net.ssl.trustStorePassword=changeit
在这个问题上浪费了很多时间。如果您导入了证书，您可以看到这里列出了它。
keytool -list -v -keystore $JAVA_HOME/lib/security/cacerts
然后创建新的文件，使用以下命令替换SITE_NAME、SITE_PORT、CERTIFICATE_NAME和保存文件的路径。
echo -n | openssl s_client -connect SITE_NAME:SITE_PORT \
| openssl x509 > /path/to/save/CERTIFICATE_NAME.cert
就我而言，我在Spring中使用Keycloak时遇到了问题。在我用这个命令创建证书并导入到密钥存储库之后，问题就解决了，它可以正常工作
