tomcat配置不尊重證書的擴展密鑰使用

Question

是否可以禁用Tomcats檢查擴展密鑰用法，該用法定義SSL證書的用途（服務器，客戶端）？

在我的證書中，擴展密鑰用法（目的）設置爲SSLServer，但我也需要此證書進行客戶端身份驗證。

我想知道在Tomcat中是否可以跳過這個檢查？

Answer 1

不，這是不可能的。

首先，無論「消耗」證書（即必須驗證並驗證它的實體），都要負責檢查屬性。如果您想使用Tomcat服務器中的應用程序連接到另一臺服務器，則使用客戶端身份驗證，Tomcat中的應用程序就是該連接所關心的客戶端。這取決於您要連接的服務器以決定要檢查的內容（如果此擴展程序存在並且能夠理解，它確實會檢查擴展密鑰的使用情況）。其次，從您身邊更改擴展密鑰用法擴展將意味着更改證書本身。就本質而言，只有當CA進行了這些修改並相應地給您一個新的證書時，這才應該是可能的。

這就是說，許多CA似乎在證書中啓用了TLS Web服務器身份驗證（1.3.6.1.5.5.7.3.1）和TLS Web客戶端身份驗證（1.3.6.1.5.5.7.3.2）他們發給服務器，沒有任何額外的選項。