Как я могу получить несколько сертификатов SSL для сервера Java

Ответ 1

Самый простой способ сделать это - использовать один сертификат для всех ваших доменных имен. Поместите все другие имена сайтов в SAN (альтернативное имя темы).

Если вы предпочитаете один сертификат для каждого имени домена, вы можете написать свой собственный менеджер ключей и использовать псевдоним для идентификации домена, чтобы вы могли использовать одно хранилище ключей. В нашей системе мы делаем соглашение о том, что псевдоним хранилища ключей всегда равен CN в сертификате. Поэтому мы можем сделать что-то вроде этого,

SSLContext sctx1 = SSLContext.getInstance("SSLv3");
sctx1.init(new X509KeyManager[] { 
    new MyKeyManager("/config/master.jks","changeme".toCharArray(),"site1.example.com")
    },null, null);
SSLServerSocketFactory ssf = (SSLServerSocketFactory) sctx1.getServerSocketFactory();
ServerSocket ss1 = ssf.createServerSocket(1234);

...

SSLContext sctx2 = SSLContext.getInstance("SSLv3");
sctx2.init(new X509KeyManager[] { 
    new MyKeyManager("/config/master.jks","changeme".toCharArray(),"site2.example.com") 
    },null, null);
ssf = (SSLServerSocketFactory) sctx2.getServerSocketFactory();
ServerSocket ss2 = ssf.createServerSocket(5678);

...

public static class MyKeyManager implements X509KeyManager {
    private KeyStore keyStore;
    private String alias;
    private char[] password;

    MyKeyManager(String keyStoreFile, char[] password, String alias)
        throws IOException, GeneralSecurityException
    {
        this.alias = alias;
        this.password = password;
        InputStream stream = new FileInputStream(keyStoreFile);
        keyStore = KeyStore.getInstance(KeyStore.getDefaultType());
        keyStore.load(stream, password);
    }

    public PrivateKey getPrivateKey(String alias) {
        try {
            return (PrivateKey) keyStore.getKey(alias, password);
        } catch (Exception e) {
            return null;
        }
    }

    public X509Certificate[] getCertificateChain(String alias) {
        try {
            java.security.cert.Certificate[] certs = keyStore.getCertificateChain(alias);
            if (certs == null || certs.length == 0)
                return null;
            X509Certificate[] x509 = new X509Certificate[certs.length];
            for (int i = 0; i < certs.length; i++)
                x509[i] = (X509Certificate)certs[i];
            return x509;
        } catch (Exception e) {
            return null;
        }          
    }

    public String chooseServerAlias(String keyType, Principal[] issuers,
                                    Socket socket) {
        return alias;
    }

    public String[] getClientAliases(String parm1, Principal[] parm2) {
        throw new UnsupportedOperationException("Method getClientAliases() not yet implemented.");
    }

    public String chooseClientAlias(String keyTypes[], Principal[] issuers, Socket socket) {
        throw new UnsupportedOperationException("Method chooseClientAlias() not yet implemented.");
    }

    public String[] getServerAliases(String parm1, Principal[] parm2) {
        return new String[] { alias };
    }

    public String chooseServerAlias(String parm1, Principal[] parm2) {
        return alias;
    }
}

Ответ 2

Вы не сможете использовать по умолчанию SSLServerSocketFactory.

Вместо инициализировать другой SSLContext для каждого сайта, каждый из которых использует KeyManagerFactory настроен с хранилищем ключей, содержащим ключевую запись с правильным сертификатом сервера. (После инициализации KeyManagerFactory передайте менеджерам ключей методу init SSLContext.)

После инициализации SSLContext получите SSLServerSocketFactory и используйте это для создания своего слушателя.

KeyStore identity = KeyStore.getInstance(KeyStore.getDefaultType());
/* Load the keystore (a different one for each site). */
...
SSLContext ctx = SSLContext.getInstance("TLS");
KeyManagerFactory kmf = 
  KeyManagerFactory.getInstance(KeyManagerFactory.getDefaultAlgorithm());
kmf.init(identity, password);
ctx.init(kmf.getKeyManagers(), null, null);
SSLServerSocketFactory factory = ctx.getServerSocketFactory();
ServerSocket server = factory.createSocket(port);

Ответ 3

Недавно я столкнулся с подобной ситуацией. У меня есть собственный встроенный веб-сервер Java, который может размещать любое количество веб-сайтов. На каждом веб-сайте есть собственное доменное имя. Каждому веб-сайту/домену присваивается уникальный IP-адрес на сервере. Для каждого IP-адреса на порту 80 создается прослушиватель сокетов.

Для сайтов, имеющих SSL-сертификаты, я импортировал ключи и сертификаты в один KeyStore. Я назначил псевдоним сертификата для каждого сертификата SSL домена, чтобы он соответствовал доменному имени. Каждому домену/веб-сайту, имеющему сертификат SSL, назначается новый прослушиватель сокетов на порту 443.

По умолчанию стандартный Java X509KeyManager и реализация SunX509 выберет первые псевдонимы, которые он найдет, для которых есть закрытый ключ и ключ нужного типа для выбранного набора шифров (обычно RSA). К сожалению, выбранный псевдоним не обязательно соответствует запрашиваемому домену, поэтому вы получаете ошибки сертификата.

Чтобы обойти эту проблему, я использовал предложение ZZ Coder и внедрил пользовательский X509KeyManager. На самом деле для моего сервера мне нужен X509ExtendedKeyManager, у которого есть дополнительный метод selectEngineServerAlias ​​().

Мой пользовательский KeyManager полагается на хэш файл имен хостов и их соответствующих IP-адресов. Когда выполняется новый запрос SSL, он проверяет входящий IP-адрес и находит соответствующее имя хоста. Затем он пытается найти псевдоним в хранилище ключей, который соответствует имени хоста.

private class MyKeyManager extends X509ExtendedKeyManager implements X509KeyManager {
    private KeyStore keyStore;
    private char[] password;
    private java.util.HashMap<InetAddress, String> hosts;

    public MyKeyManager(KeyStore keystore, char[] password, java.util.HashMap<InetAddress, String> hosts) 
    throws IOException, GeneralSecurityException {
        this.keyStore = keystore;
        this.password = password;
        this.hosts = hosts;
    }

    public String chooseEngineServerAlias(String keyType, Principal[] issuers, SSLEngine engine) {
        try{
            return hosts.get(InetAddress.getByName(engine.getPeerHost()));
        }
        catch(Exception e){
            return null;
        }
    }

    public String chooseServerAlias(String keyType, Principal[] issuers, Socket socket) {
        return hosts.get(socket.getLocalAddress());
    }

    public PrivateKey getPrivateKey(String alias) {
        try {
            return (PrivateKey) keyStore.getKey(alias, password);
        } 
        catch (Exception e) {
            return null;
        }
    }

    public X509Certificate[] getCertificateChain(String alias) {
        try {
            java.security.cert.Certificate[] certs = keyStore.getCertificateChain(alias);
            if (certs == null || certs.length == 0) return null;
            X509Certificate[] x509 = new X509Certificate[certs.length];
            for (int i = 0; i < certs.length; i++){
                x509[i] = (X509Certificate)certs[i];
            }
            return x509;
        } 
        catch (Exception e) {
            e.printStackTrace();
            return null;
        }          
    }

    public String[] getServerAliases(String keyType, Principal[] issuers) {
        throw new UnsupportedOperationException("Method getServerAliases() not yet implemented.");
    }

    public String[] getClientAliases(String keyType, Principal[] issuers) {
        throw new UnsupportedOperationException("Method getClientAliases() not yet implemented.");
    }

    public String chooseClientAlias(String keyTypes[], Principal[] issuers, Socket socket) {
        throw new UnsupportedOperationException("Method chooseClientAlias() not yet implemented.");
    }

    public String chooseEngineClientAlias(String[] strings, Principal[] prncpls, SSLEngine ssle) {
        throw new UnsupportedOperationException("Method chooseEngineClientAlias() not yet implemented.");
    }        
}

Пользовательский KeyManager используется для инициализации SSLContext. Самое приятное, что вам нужно только инициализировать один SSLContext.

javax.net.ssl.KeyManager[] kms = new javax.net.ssl.KeyManager[]{
     new MyKeyManager(keystore, keypass, hosts)
};
TrustManagerFactory tmf = TrustManagerFactory.getInstance("SunX509");
tmf.init(keystore);
javax.net.ssl.TrustManager[] tms = tmf.getTrustManagers();
SSLContext sslContext = SSLContext.getInstance("TLS");
sslContext.init(kms, tms, null);