В Java SSL через HTTPS без сертификата
Можно ли использовать SSL с httpconnection без использования сертификата в Java? Я хочу использовать случайное число или ключ.
Поблагодарить Райхан
Ответы на вопрос(5)
Да, вы можете использовать несколько различных методов аутентификации в SSL / TLS, включая симметричные ключи (наборы шифров PSK) и комбинацию имени пользователя и пароля (наборы шифров SRP). Я не могу сказать о встроенных механизмах Java, но изSecureBlackbox Продукт (включая его версию Java) позволяет использовать упомянутые механизмы как на стороне клиента, так и на стороне канала SSL / TLS. Это также относится к предоставляемым клиентским и серверным компонентам HTTPS.
SSL требует сертификата, но вы можете создать самозаверяющий сертификат следующим образом:
keytool -genkey -keyalg RSA -alias selfsigned -keystore keystore.jks -storepass password -validity 360 -keysize 2048
Этот сертификат будет храниться в keystore.jks и будет действителен в течение 360 дней.
В зависимости от реализации http-сервера вы обычно указываете его на хранилище ключей, предоставляяkeystoreFile аргумент иkeystorePass установить пароль (имена свойств взяты из HTTP-коннектора Apache Tomcat), но они аналогичны на других http-серверах.
Посмотрите на принятый ответ на следующий вопрос:
Как игнорировать ошибки SSL-сертификата в Apache HttpClient 4.0
Вам просто нужно создать TrustManager, который в основном ничего не проверяет и просто доверяет всему. Хотя я могу понять, почему это полезно при разработке, это отчасти сводит на нет цель SSL. TrustManager создан для того, чтобы избежать атак Man In The Middle, когда третье лицо выступает в качестве сервера для перехвата и обработки данных и т. Д., Поэтому, если вы не проверяете сертификат сервера, любой может предоставить «недействительный». сертификат!
ХотяSSL / TLS строго не требует сертификатовHTTPS ожидает сертификаты, так какRFC 2818 (в частности, раздел 3.1) четко относится к сертификатам X.509.
Вы найдете больше информации вэтот ответ на ServerFault, на очень похожий вопрос.
Что бы вы ни делали без сертификата, это не входит в сферу действия RFC 2818, но все равно может работать (и имеет смысл). Однако это поддерживается другими реализациями и может отличаться. Если вы решите не использовать сертификаты, вам все равно потребуется способ проверки идентификатора сервера для обеспечения безопасности связи.
EDIT:
Поставщик Oracle для JSSE не поддерживает наборы шифров PSK (или сертификаты OpenPGP). Наиболее близким к общему ключу, который вы получите, являются наборы шифров Kerberos.