클라이언트 인증서를 SSL 핸드 셰이크로 받기

Question

Android 및 서버 측에서 Netty를 사용하여 클라이언트 인증과 SSL 보안 연결을 설정합니다. 이제는 SSLEngine이 "null cert chain"으로 인해 거부하기 때문에 이러한 인증서에 연결하는 데 어려움을 겪고 있습니다.

이것은 서버 측에서 수행 한 작업입니다. 서명 된 Server Certificat (클라이언트가 CA를 알고 있으므로이 서버의 유효성을 확인할 수 있음)로 SSLContext를 설정합니다.

서버가 클라이언트에서 인증서를 수락하도록하려면 (자체 서명되었으므로) 모든 인증서를 수락하는 DummyTrustManager를 구현했습니다.

private static class DummyTrustManager implements X509TrustManager 
    { 
     private X509Certificate[] mCerts; 

     public DummyTrustManager(Certificate[] pCerts) 
     { 
      // convert into x509 array 
      mCerts = new X509Certificate[pCerts.length]; 
      for(int i = 0; i < pCerts.length; i++) 
      { 
       mCerts[i] = (X509Certificate)pCerts[i]; 
      } 
     } 

     @Override 
     public void checkClientTrusted(X509Certificate[] arg0, String arg1) throws CertificateException{} 

     @Override 
     public void checkServerTrusted(X509Certificate[] arg0, String arg1) throws CertificateException{} 

     @Override 
     public X509Certificate[] getAcceptedIssuers() 
     { 
      return mCerts; 
      //return new X509Certificate[0]; 
     } 
    } 

점

내가 getAcceptedIssuers() 메소드에 대해 아주 잘 모르겠어요 것입니다.

• 나는보다 빈 배열을 retrurn 경우에는 OpenSSL 바이너리로 인해 빈 AcceptedIssuers 목록 (I 올바른 설정을 veryfi하기 위해 사용하는) 실패합니다.

• 현재 서버 인증서 체인을 추가하는 경우 최소한 동일한 CA가 서명 한 클라이언트 인증서는 필요하지만 자체 서명 된 인증서는 필요하지 않습니다.

하지만 어쩌면 나는 클라이언트 측에서 뭔가를 잘못하고 있어요 :

또한

 KeyStore keyStore = KeyStore.getInstance(KeyStore.getDefaultType()); 
     keyStore.load(null); 

     keyStore.setEntry("user_certificate", new KeyStore.PrivateKeyEntry(mPrivate, new Certificate[]{mClientCert}), this); 
     keyStore.setCertificateEntry("server_certificate", mServerCert); 

내가 한 몇 가지 연구와 내가 지금까지 이해 것과 : 클라이언트가 유효한 인증서 체인을 가지고 있지만하지 않습니다 서버가 서버에 나열된 발급자 만 수락한다는 것을 서버가 알려주기 때문에이를 보냅니다.

맞다면 어떻게이 문제를 극복 할 수 있습니까?

저는 모든 클라이언트에게 전달되는 자체 서명 된 별도의 CA가 서버 승인 수취인 목록에도 나열되어 있다고 생각했습니다. 모든 클라이언트는이 CA를 사용하여 자체 인증서에 서명합니다. 나는이 문제에 보안 문제가 없다는 것을 알고있다. 아니면 더 나은 해결책이 있습니까?

Answer 1

오랫동안 답변이 없었기 때문에 지금 어떻게 해결할 지 간략하게 설명하겠습니다.

신뢰할 수있는 CA가 서명하지 않은 다른 CA를 만들었습니다. 실제로 그것은 자체 서명되어 있습니다. 이 CA는 모든 클라이언트에게 자체 인증서에 서명하도록 제공됩니다. 왜? 그 방법으로 나는이 CA를 유일하게 수락 된 것으로 보내는 서버에 알릴 수 있습니다. getAcceptedIssuers(). 이것은 어느 정도의 권한을 부여하기위한 것이 아닙니다. 클라이언트를 확인하는 방법은 공개 키로 만 이루어 지므로 보안 위험은 없습니다.

TrustedManagers와 SSLContext 인스턴스를 혼동하지 않도록주의해야합니다.