是否需要將根證書添加到Java Keystore？

在SSL握手中，服務器需要將證書鏈呈現給根證書，但根本身是可選的，對吧？那麼是否有必要向Java密鑰庫添加根證書？是否需要將根證書添加到Java Keystore？

2015-12-14 avmohan

如果您有充分理由相信對等方已經信任鏈中較低的證書，則不需要。

2015-12-14 21:50:23 EJP

但是，如果對等方只信任根CA？ – avmohan

同行必須信任鏈條中的某些東西。如果它只是根，那麼你必須包含根。我很好奇你爲什麼要問。如何去除鏈中的一些額外麻煩，會有什麼意義？ – EJP

密鑰庫用於存儲服務器的公鑰證書以及將其鏈接到根證書的證書鏈。證書鏈在TLS握手時呈現給客戶端。但是根據TLS協議，服務器不需要自己發送根證書。客戶不會信任鏈條，除非根目錄已經在他的信任庫中。並且根旁邊的中間證書也會有根的指紋，所以從一堆可以完成鏈的根中找到正確的根並不困難。 – avmohan

那麼是否需要向Java密鑰庫添加根證書？

如果您（SSL引擎）依賴根證書來建立信任關係，那麼它確實需要位於密鑰庫中。但是如果它不在那裏，你只需要添加它。另一方面，如果您已將非根證書添加爲可信證書，則SSL引擎將不會嘗試進一步檢查鏈條。（值得注意的是，典型瀏覽器密鑰庫中的許多根證書不包含在作爲Java安裝一部分的標準密鑰庫中，因此，可能需要將您網站的證書鏈中的根證書添加到Java密鑰庫。）

來源

2015-12-14 22:15:05

是否需要將根證書添加到Java Keystore？

回答

相關問題