it-swarm.com.ru

Как программно установить SSLContext клиента JAX-WS?

Я работаю на сервере в распределенном приложении, которое имеет клиенты браузера, а также участвует в межсерверной связи с третьим лицом Мой сервер имеет подписанный CA сертификат, позволяющий моим клиентам подключаться с использованием TLS (SSL ) связь с использованием HTTP/S и XMPP (защищенная). Это все работает нормально.

Теперь мне нужно безопасно подключиться к стороннему серверу, используя JAX-WS через HTTPS/SSL. В этом сообщении мой сервер выступает в роли клиента во взаимодействии JAX-WS, и у меня есть сертификат клиента, подписанный третьей стороной. 

Я попытался добавить новое хранилище ключей через стандартную конфигурацию системы (-Djavax.net.ssl.keyStore=xyz), но другие мои компоненты явно пострадали от этого. Хотя мои другие компоненты используют выделенные параметры для своей конфигурации SSL (my.xmpp.keystore=xxx, my.xmpp.truststore=xxy, ...), похоже, что они в конечном итоге используют глобальную SSLContext. (Пространство имен конфигурации my.xmpp., казалось, указывало на разделение, но это не так)

Я также попытался добавить свой клиентский сертификат в исходное хранилище ключей, но, опять же, другим компонентам он тоже не понравился.

Я думаю, что мой единственный оставшийся вариант - программно подключиться к конфигурации HTTPS JAX-WS, чтобы настроить хранилище ключей и доверенных сертификатов для взаимодействия клиента JAX-WS. 

Любые идеи/указатели о том, как это сделать? Вся информация, которую я нахожу, либо использует метод javax.net.ssl.keyStore, либо задает глобальную переменную SSLContext, которая, как я полагаю, окажется в том же самом конфликте. Самым близким, что я получил к чему-то полезному, был этот старый отчет об ошибках, в котором запрашивается нужная мне функция: Добавить поддержку для передачи SSLContext во время выполнения клиента JAX-WS

Любой берет?

52
maasg

Этот был крепким орешком, так что для записи:

Чтобы решить эту проблему, потребовались пользовательские KeyManager и SSLSocketFactory, которые используют этот пользовательский KeyManager для доступа к разделенным KeyStore. Я нашел базовый код для этих KeyStore и SSLFactory в этой отличной записи блога: how-to динамически выбираемый-сертификат-псевдоним-когда-вызывая веб-службы

Затем специальная SSLSocketFactory должна быть вставлена ​​в контекст WebService:

service = getWebServicePort(getWSDLLocation());
BindingProvider bindingProvider = (BindingProvider) service; 
bindingProvider.getRequestContext().put("com.Sun.xml.internal.ws.transport.https.client.SSLSocketFactory", getCustomSocketFactory()); 

Где getCustomSocketFactory() возвращает SSLSocketFactory, созданный с использованием метода, упомянутого выше. Это будет работать только для JAX-WS RI из встроенного в JDK пакета Sun-Oracle, учитывая, что строка, указывающая свойство SSLSocketFactory, является проприетарной для этой реализации. 

На этом этапе связь службы JAX-WS защищена через SSL, но если вы загружаете WSDL с того же защищенного сервера (), у вас возникнет проблема с загрузкой, так как HTTPS-запрос на сбор WSDL не будет использоваться те же учетные данные, что и веб-службы. Я обошел эту проблему, сделав WSDL локально доступным (file: /// ...) и динамически изменив конечную точку веб-службы: (хорошее обсуждение того, зачем это нужно, можно найти на этом форуме )

bindingProvider.getRequestContext().put(BindingProvider.ENDPOINT_ADDRESS_PROPERTY, webServiceLocation); 

Теперь WebService загружается и может обмениваться данными через SSL с аналогом сервера, используя именованный (псевдоним) Client-Certificate и взаимную аутентификацию. ∎

54
maasg

Вот как я решил это на основе этого поста с некоторыми незначительными изменениями. Это решение не требует создания каких-либо дополнительных классов.

SSLContext sc = SSLContext.getInstance("SSLv3");

KeyManagerFactory kmf =
    KeyManagerFactory.getInstance( KeyManagerFactory.getDefaultAlgorithm() );

KeyStore ks = KeyStore.getInstance( KeyStore.getDefaultType() );
ks.load(new FileInputStream( certPath ), certPasswd.toCharArray() );

kmf.init( ks, certPasswd.toCharArray() );

sc.init( kmf.getKeyManagers(), null, null );

((BindingProvider) webservicePort).getRequestContext()
    .put(
        "com.Sun.xml.internal.ws.transport.https.client.SSLSocketFactory",
        sc.getSocketFactory() );
20
Radek

Я попробовал следующее, и это не сработало в моей среде:

bindingProvider.getRequestContext().put("com.Sun.xml.internal.ws.transport.https.client.SSLSocketFactory", getCustomSocketFactory());

Но другая собственность работала как шарм:

bindingProvider.getRequestContext().put(JAXWSProperties.SSL_SOCKET_FACTORY, getCustomSocketFactory());

Остальная часть кода была взята из первого ответа.

19
Igors Sakels

Комбинируя ответы Radek и l0co, вы можете получить доступ к WSDL за https:

SSLContext sc = SSLContext.getInstance("TLS");

KeyManagerFactory kmf = KeyManagerFactory
        .getInstance(KeyManagerFactory.getDefaultAlgorithm());

KeyStore ks = KeyStore.getInstance("JKS");
ks.load(getClass().getResourceAsStream(keystore),
        password.toCharArray());

kmf.init(ks, password.toCharArray());

sc.init(kmf.getKeyManagers(), null, null);

HttpsURLConnection
        .setDefaultSSLSocketFactory(sc.getSocketFactory());

yourService = new YourService(url); //Handshake should succeed
3
cidus

Вышеприведенное хорошо (как я уже сказал в комментарии), если ваш WSDL не доступен и с https: //.

Вот мой обходной путь для этого:

Установите SSLSocketFactory по умолчанию:

HttpsURLConnection.setDefaultSSLSocketFactory(...);

Для Apache CXF, который я использую, вам также необходимо добавить следующие строки в ваш конфиг:

<http-conf:conduit name="*.http-conduit">
  <http-conf:tlsClientParameters useHttpsURLConnectionDefaultSslSocketFactory="true" />
<http-conf:conduit>
2
Łukasz Frankowski

Для тех, кто пытается и до сих пор не работает, это было сделано для меня с Wildfly 8, используя динамическую переменную Dispatcher:

bindingProvider.getRequestContext().put("com.Sun.xml.ws.transport.https.client.SSLSocketFactory", yourSslSocketFactory);

Обратите внимание, что здесь отсутствует часть internal из ключа свойства.

0
Davio

Я попробовал шаги здесь:

http://jyotirbhandari.blogspot.com/2011/09/Java-error-invalidalgorithmparameterexc.html

И это решило проблему. Я сделал несколько небольших изменений - я установил два параметра, используя System.getProperty ...

0
Kumar Saurabh

Вы можете переместить свою аутентификацию прокси и персонал ssl в обработчик мыла

  port = new SomeService().getServicePort();
  Binding binding = ((BindingProvider) port).getBinding();
  binding.setHandlerChain(Collections.<Handler>singletonList(new ProxyHandler()));

Это мой пример, сделать все сетевые операции

  class ProxyHandler implements SOAPHandler<SOAPMessageContext> {
    static class TrustAllHost implements HostnameVerifier {
      public boolean verify(String urlHostName, SSLSession session) {
        return true;
      }
    }

    static class TrustAllCert implements X509TrustManager {
      public Java.security.cert.X509Certificate[] getAcceptedIssuers() {
        return null;
      }

      public void checkClientTrusted(Java.security.cert.X509Certificate[] certs, String authType) {
      }

      public void checkServerTrusted(Java.security.cert.X509Certificate[] certs, String authType) {
      }
    }

    private SSLSocketFactory socketFactory;

    public SSLSocketFactory getSocketFactory() throws Exception {
      // just an example
      if (socketFactory == null) {
        SSLContext sc = SSLContext.getInstance("SSL");
        TrustManager[] trustAllCerts = new TrustManager[] { new TrustAllCert() };
        sc.init(null, trustAllCerts, new Java.security.SecureRandom());
        socketFactory = sc.getSocketFactory();
      }

      return socketFactory;
    }

    @Override public boolean handleMessage(SOAPMessageContext msgCtx) {
      if (!Boolean.TRUE.equals(msgCtx.get(MessageContext.MESSAGE_OUTBOUND_PROPERTY)))
        return true;

      HttpURLConnection http = null;

      try {
        SOAPMessage outMessage = msgCtx.getMessage();
        outMessage.setProperty(SOAPMessage.CHARACTER_SET_ENCODING, "UTF-8");
        // outMessage.setProperty(SOAPMessage.WRITE_XML_DECLARATION, true); // Not working. WTF?

        ByteArrayOutputStream message = new ByteArrayOutputStream(2048);
        message.write("<?xml version='1.0' encoding='UTF-8'?>".getBytes("UTF-8"));
        outMessage.writeTo(message);

        String endpoint = (String) msgCtx.get(BindingProvider.ENDPOINT_ADDRESS_PROPERTY);
        URL service = new URL(endpoint);

        Proxy proxy = Proxy.NO_PROXY;
        //Proxy proxy = new Proxy(Proxy.Type.HTTP, new InetSocketAddress("{proxy.url}", {proxy.port}));

        http = (HttpURLConnection) service.openConnection(proxy);
        http.setReadTimeout(60000); // set your timeout
        http.setConnectTimeout(5000);
        http.setUseCaches(false);
        http.setDoInput(true);
        http.setDoOutput(true);
        http.setRequestMethod("POST");
        http.setInstanceFollowRedirects(false);

        if (http instanceof HttpsURLConnection) {
          HttpsURLConnection https = (HttpsURLConnection) http;
          https.setHostnameVerifier(new TrustAllHost());
          https.setSSLSocketFactory(getSocketFactory());
        }

        http.setRequestProperty("Content-Type", "application/soap+xml; charset=utf-8");
        http.setRequestProperty("Content-Length", Integer.toString(message.size()));
        http.setRequestProperty("SOAPAction", "");
        http.setRequestProperty("Host", service.getHost());
        //http.setRequestProperty("Proxy-Authorization", "Basic {proxy_auth}");

        InputStream in = null;
        OutputStream out = null;

        try {
          out = http.getOutputStream();
          message.writeTo(out);
        } finally {
          if (out != null) {
            out.flush();
            out.close();
          }
        }

        int responseCode = http.getResponseCode();
        MimeHeaders responseHeaders = new MimeHeaders();
        message.reset();

        try {
          in = http.getInputStream();
          IOUtils.copy(in, message);
        } catch (final IOException e) {
          try {
            in = http.getErrorStream();
            IOUtils.copy(in, message);
          } catch (IOException e1) {
            throw new RuntimeException("Unable to read error body", e);
          }
        } finally {
          if (in != null)
            in.close();
        }

        for (Map.Entry<String, List<String>> header : http.getHeaderFields().entrySet()) {
          String name = header.getKey();

          if (name != null)
            for (String value : header.getValue())
              responseHeaders.addHeader(name, value);
        }

        SOAPMessage inMessage = MessageFactory.newInstance()
          .createMessage(responseHeaders, new ByteArrayInputStream(message.toByteArray()));

        if (inMessage == null)
          throw new RuntimeException("Unable to read server response code " + responseCode);

        msgCtx.setMessage(inMessage);
        return false;
      } catch (Exception e) {
        throw new RuntimeException("Proxy error", e);
      } finally {
        if (http != null)
          http.disconnect();
      }
    }

    @Override public boolean handleFault(SOAPMessageContext context) {
      return false;
    }

    @Override public void close(MessageContext context) {
    }

    @Override public Set<QName> getHeaders() {
      return Collections.emptySet();
    }
  }

Он использует UrlConnection, вы можете использовать любую библиотеку, которую вы хотите в обработчик . Веселитесь!

0
lunicon

У меня были проблемы с доверием самозаверяющего сертификата при настройке диспетчера доверия. Я использовал конструктор SSLContexts Apache httpclient для создания пользовательской SSLSocketFactory

SSLContext sslcontext = SSLContexts.custom()
        .loadKeyMaterial(keyStoreFile, "keystorePassword.toCharArray(), keyPassword.toCharArray())
        .loadTrustMaterial(trustStoreFile, "password".toCharArray(), new TrustSelfSignedStrategy())
        .build();
SSLSocketFactory customSslFactory = sslcontext.getSocketFactory()
bindingProvider.getRequestContext().put(JAXWSProperties.SSL_SOCKET_FACTORY, customSslFactory);

и передача new TrustSelfSignedStrategy() в качестве аргумента в методе loadTrustMaterial.

0
user3047573