Tomcat服務器信任庫根證書

我需要信任我的tomcat上的客戶端證書，我已經將根（verisign）和客戶域證書添加到服務器信任庫，並且它工作正常並接受客戶端連接。Tomcat服務器信任庫根證書

現在的問題是，是否將根verisign證書添加到信任庫接受任何簽名的verisign證書？或者，如果我將它添加到cacerts中，情況會如此嗎？將它放置在信任庫中是否安全？

我使用Tomcat 6和Java 1.6的Linux

感謝

2012-08-15 kontiki

Java安全性由Scott Oaks告訴我，我必須在truststore中擁有CA的根證書，所以我會保留這個權限。 – kontiki 2012-08-15 08:37:05

並添加根證書威瑞信的信任接受由威瑞信證書籤署什麼？

是的。您的應用程序仍然需要根據分配給證書所標識的用戶的角色執行授權步驟。您不應該試圖單獨使用信任庫和證書來做到這一點，這不是該機制的目的。它用於身份驗證。你在談論授權。

注意您正在使用本地信任庫而不是 JRE的cacerts文件。

2012-08-15 07:37:19 EJP

這非常完美，謝謝EJP，我們確實在應用程序中有進一步的身份驗證，但我想這是最好的無論如何，不要在信任庫中擁有CA？ – kontiki 2012-08-15 07:46:01

我認爲你需要有完整的信任鏈，它從CA開始。通常的設置是：外部CA - 本地CA - 服務器 - 客戶端。如果您只需要一臺服務器，則您可以跳過本地CA，並且如果您沒有使用它們（例如，使用證書對用戶進行身份驗證），則不必頒發客戶端證書。 – 2012-08-15 07:56:15

@kontiki您必須擁有您在truststore中需要的任何內容來接受客戶端證書。作爲SSL握手的一部分，服務器發送它信任的根CA的列表，該列表來自信任庫，並且客戶端將其證書鏈發送到幷包括它可以看到服務器已經信任的第一個根，但不再進一步。 – EJP 2012-08-15 09:08:59

回答