ejecutara - error de aplicacion no se ha podido iniciar la aplicacion java

Certificado importado al almacén de claves de Java, JVM ignora el nuevo certificado (4)

Estoy intentando que una aplicación se ejecute sobre Tomcat 6 para conectarse a un servidor LDAP a través de SSL.

Importé el certificado del servidor a keystore usando:

C:/Program Files/Java/jdk1.6.0_32/jre/lib/security>keytool -importcert -trustcacerts -file mycert -alias ca_alias -keystore "c:/Program Files/Java/jdk1.6.0_32/jre/lib/security/cacerts"

Cuando comienzo a Tomcat con la depuración de SSL activada, de acuerdo con los registros, Tomcat está utilizando el archivo de certificado correcto:

trustStore is: C:/Program Files/Java/jdk1.6.0_32/jre/lib/security/cacerts

Sin embargo, Tomcat no agrega el certificado que acabo de importar (todos los demás certificados del archivo cacerts se imprimen en el registro) y la conexión falla:

handling exception: javax.net.ssl.SSLHandshakeException: sun.security.validator.ValidatorException: PKIX path building failed: sun.security.provider.certpath.SunCertPathBuilderException: unable to find valid certification path to requested target

Reiniciar Tomcat no ayuda. He verificado con el comando keytool -list que el nuevo certificado efectivamente existe en el archivo.

¿Por qué Tomcat sigue ignorando mi nuevo certificado?

EDITAR:

Parece que el problema fue causado por Windows 7 VirtualStore. Keytool creó una nueva copia del archivo cacert y Tomcat utilizó el archivo original.

Compruebe si hay una clave con la misma información de CN pero con un alias diferente.

He tenido problemas similares antes cuando intenté importar una versión más nueva de un certificado pero dejé la versión anterior en el almacén de claves. Mis programas Java simplemente encontrarían la primera clave CN coincidente en el almacén de claves (que era la antigua caducada) y tratarían de usar esa, aunque había una nueva que también coincidía con la CN.

También asegúrese de que el certificado raíz de autenticación (y el certificado intermedio, si corresponde) existan en el almacén de claves. Si se está autenticando con uno de los principales proveedores de seguridad, como Verisign o Globalsign, generalmente le proporcionarán los certificados raíz e intermedios. Si estos certificados ya existen en el almacén de claves, asegúrese de que todavía estén en validez. Debe tener todos los certificados de su certificado personal a lo largo de la cadena de autenticación hasta la raíz, existentes en su almacén de claves, para que entienda cómo validar sus credenciales.

En mi caso, revisé tantas cosas antes de descubrir qué estaba mal ... Agregué el certificado a diferentes almacenes de claves, Agregué todos los certificados en la cadena (que no tiene sentido por cierto), descargué el certificado nuevamente por mi propia cordura. y verificó el número de serie e incluso inspeccionó el certificado descargado para asegurarse de que tenía toda la información correcta.

Terminé escribiendo una aplicación de cliente de verificación TLS para depurar el problema. No solo el servidor remoto al que me estaba conectando era compatible con TLS 1.2 (deshabilitado de manera predeterminada en mi versión de Java 7), el servidor tampoco admitía ninguno de los cifrados que estaban habilitados en mi cliente. Resulta que Java 7 tenía menos de la mitad de los cifrados compatibles, muchos de ellos realmente inseguros y algunos de los más seguros estaban desactivados.

Después de algunas comprobaciones, se me ocurrió la siguiente lista ordenada de cifrados seguros compatibles con TLS 1.2:

new String[] { "TLS_ECDHE_ECDSA_WITH_CHACHA20_POLY1305_SHA256", "TLS_ECDHE_RSA_WITH_CHACHA20_POLY1305_SHA256", "TLS_ECDHE_PSK_WITH_CHACHA20_POLY1305_SHA256", "TLS_DHE_RSA_WITH_CHACHA20_POLY1305_SHA256", "TLS_DHE_PSK_WITH_CHACHA20_POLY1305_SHA256", "TLS_ECDHE_ECDSA_WITH_AES_256_GCM_SHA384", "TLS_ECDHE_ECDSA_WITH_AES_128_GCM_SHA256", "TLS_ECDHE_RSA_WITH_AES_256_GCM_SHA384", "TLS_ECDHE_RSA_WITH_AES_128_GCM_SHA256", "TLS_ECDHE_PSK_WITH_AES_256_GCM_SHA384", "TLS_ECDHE_PSK_WITH_AES_128_GCM_SHA256", "TLS_DHE_RSA_WITH_AES_256_GCM_SHA384", "TLS_DHE_RSA_WITH_AES_128_GCM_SHA256", "TLS_DHE_PSK_WITH_AES_256_GCM_SHA384", "TLS_DHE_PSK_WITH_AES_128_GCM_SHA256", "TLS_ECDHE_ECDSA_WITH_AES_256_CBC_SHA384", "TLS_ECDHE_ECDSA_WITH_AES_256_CBC_SHA", "TLS_ECDHE_ECDSA_WITH_AES_128_CBC_SHA256", "TLS_ECDHE_ECDSA_WITH_AES_128_CBC_SHA", "TLS_ECDHE_RSA_WITH_AES_256_CBC_SHA384", "TLS_ECDHE_RSA_WITH_AES_256_CBC_SHA", "TLS_ECDHE_RSA_WITH_AES_128_CBC_SHA256", "TLS_ECDHE_RSA_WITH_AES_128_CBC_SHA", "TLS_DHE_RSA_WITH_AES_256_CBC_SHA256", "TLS_DHE_RSA_WITH_AES_256_CBC_SHA", "TLS_DHE_RSA_WITH_AES_128_CBC_SHA256", "TLS_DHE_RSA_WITH_AES_128_CBC_SHA", "TLS_ECDHE_PSK_WITH_AES_128_CCM_SHA256", "TLS_DHE_RSA_WITH_AES_256_CCM", "TLS_DHE_RSA_WITH_AES_128_CCM", "TLS_DHE_PSK_WITH_AES_256_CCM", "TLS_DHE_PSK_WITH_AES_128_CCM", "TLS_CHACHA20_POLY1305_SHA256", "TLS_AES_256_GCM_SHA384", "TLS_AES_128_GCM_SHA256", "TLS_AES_128_CCM_SHA256" }

Si hay algún experto en criptografía, puede actualizar esta lista. Utilicé Qualys SSL Labs , esta respuesta de Information Security SE , e IANA como mis fuentes.

Para aquellos que desean una muestra del código fuente que usé, vea más abajo. Estaba usando Apache Commons HttpClient 3.0, por lo que probablemente necesitará descargar los siguientes binarios:

TLS12SocketFactory.java

import java.io.*; import java.net.*; import java.util.*; import org.apache.commons.httpclient.params.HttpConnectionParams; import org.apache.commons.httpclient.protocol.*; import org.apache.commons.lang.StringUtils; public class TLS12SocketFactory implements SecureProtocolSocketFactory { private final SecureProtocolSocketFactory base; public TLS12SocketFactory() { this.base = (SecureProtocolSocketFactory)Protocol.getProtocol("https").getSocketFactory(); } private Socket acceptOnlyTLS12(Socket socket) { if(socket instanceof javax.net.ssl.SSLSocket) { final javax.net.ssl.SSLSocket s = (javax.net.ssl.SSLSocket)socket; // Set TLS 1.2 s.setEnabledProtocols(new String[]{ "TLSv1.2" }); // Using recommended ciphers from https://www.iana.org/assignments/tls-parameters/tls-parameters.xhtml#table-tls-parameters-4 List<String> recommended = new ArrayList(Arrays.asList(new String[]{ "TLS_ECDHE_ECDSA_WITH_CHACHA20_POLY1305_SHA256", "TLS_ECDHE_RSA_WITH_CHACHA20_POLY1305_SHA256", "TLS_ECDHE_PSK_WITH_CHACHA20_POLY1305_SHA256", "TLS_DHE_RSA_WITH_CHACHA20_POLY1305_SHA256", "TLS_DHE_PSK_WITH_CHACHA20_POLY1305_SHA256", "TLS_ECDHE_ECDSA_WITH_AES_256_GCM_SHA384", "TLS_ECDHE_ECDSA_WITH_AES_128_GCM_SHA256", "TLS_ECDHE_RSA_WITH_AES_256_GCM_SHA384", "TLS_ECDHE_RSA_WITH_AES_128_GCM_SHA256", "TLS_ECDHE_PSK_WITH_AES_256_GCM_SHA384", "TLS_ECDHE_PSK_WITH_AES_128_GCM_SHA256", "TLS_DHE_RSA_WITH_AES_256_GCM_SHA384", "TLS_DHE_RSA_WITH_AES_128_GCM_SHA256", "TLS_DHE_PSK_WITH_AES_256_GCM_SHA384", "TLS_DHE_PSK_WITH_AES_128_GCM_SHA256", "TLS_ECDHE_ECDSA_WITH_AES_256_CBC_SHA384", "TLS_ECDHE_ECDSA_WITH_AES_256_CBC_SHA", "TLS_ECDHE_ECDSA_WITH_AES_128_CBC_SHA256", "TLS_ECDHE_ECDSA_WITH_AES_128_CBC_SHA", "TLS_ECDHE_RSA_WITH_AES_256_CBC_SHA384", "TLS_ECDHE_RSA_WITH_AES_256_CBC_SHA", "TLS_ECDHE_RSA_WITH_AES_128_CBC_SHA256", "TLS_ECDHE_RSA_WITH_AES_128_CBC_SHA", "TLS_DHE_RSA_WITH_AES_256_CBC_SHA256", "TLS_DHE_RSA_WITH_AES_256_CBC_SHA", "TLS_DHE_RSA_WITH_AES_128_CBC_SHA256", "TLS_DHE_RSA_WITH_AES_128_CBC_SHA", "TLS_ECDHE_PSK_WITH_AES_128_CCM_SHA256", "TLS_DHE_RSA_WITH_AES_256_CCM", "TLS_DHE_RSA_WITH_AES_128_CCM", "TLS_DHE_PSK_WITH_AES_256_CCM", "TLS_DHE_PSK_WITH_AES_128_CCM", "TLS_CHACHA20_POLY1305_SHA256", "TLS_AES_256_GCM_SHA384", "TLS_AES_128_GCM_SHA256", "TLS_AES_128_CCM_SHA256" })); recommended.retainAll(Arrays.asList(s.getSupportedCipherSuites())); if(recommended.size() == 0) { System.err.println("No supported modern ciphers. Update crypto policy or install JCE Unlimited Strength Jurisdiction Policy files." + System.lineSeparator()); } else if(recommended.size() < 3) { System.out.println("Few supported modern ciphers. It''s recommended to update crypto policy or install JCE Unlimited Strength Jurisdiction Policy files." + System.lineSeparator()); } s.setEnabledCipherSuites(recommended.toArray(new String[0])); // Log matched cipher and cert s.addHandshakeCompletedListener(new javax.net.ssl.HandshakeCompletedListener() { @Override public void handshakeCompleted(javax.net.ssl.HandshakeCompletedEvent hce) { String print = s.getInetAddress().getHostName() + System.lineSeparator() + hce.getCipherSuite() + System.lineSeparator(); try { for(java.security.cert.Certificate cert : hce.getPeerCertificates()) { List<String> certStrings = Arrays.asList(cert.toString().split("/r?/n")); for(int line = 0; line < certStrings.size(); line++) { if(certStrings.get(line).startsWith("Certificate Extensions:")) { print += System.lineSeparator() + StringUtils.join(certStrings.subList(2, line-1), System.lineSeparator()) + System.lineSeparator(); break; } } } } catch (javax.net.ssl.SSLPeerUnverifiedException ex) { print += "Non-certificate based cipher used" + System.lineSeparator(); } System.out.println(print); } }); } return socket; } @Override public Socket createSocket(String host, int port) throws IOException { return acceptOnlyTLS12(base.createSocket(host, port)); } @Override public Socket createSocket(String host, int port, InetAddress localAddress, int localPort) throws IOException { return acceptOnlyTLS12(base.createSocket(host, port, localAddress, localPort)); } @Override public Socket createSocket(String host, int port, InetAddress localAddress, int localPort, HttpConnectionParams params) throws IOException { return acceptOnlyTLS12(base.createSocket(host, port, localAddress, localPort, params)); } @Override public Socket createSocket(Socket socket, String host, int port, boolean autoClose) throws IOException { return acceptOnlyTLS12(base.createSocket(socket, host, port, autoClose)); } }

Main.java

import java.io.*; import java.security.*; import java.security.cert.*; import java.util.*; import org.apache.commons.httpclient.protocol.Protocol; import org.apache.commons.httpclient.*; import org.apache.commons.httpclient.cookie.CookiePolicy; import org.apache.commons.httpclient.methods.*; import org.apache.commons.httpclient.params.HttpClientParams; public class Main { public static void main(String[] args) { List<java.net.URI> locations = new ArrayList<>(); for(String arg : args) { java.net.URI location = java.net.URI.create(arg); if(location.isAbsolute() && location.getScheme().equals("https")) { locations.add(location); } else { System.out.println("Skipping invalid URL: " + arg); } } System.out.println("Connecting to URL''s"); System.out.println(); System.out.println("-------------------------"); TLS12SocketFactory tls12factory = new TLS12SocketFactory(); Protocol.registerProtocol("httpss", new Protocol("httpss", tls12factory, 443)); for(java.net.URI location : locations) { System.out.println(); try { // Form request String tls12url = location.toString().replaceFirst("^https:", "httpss:"); HttpMethod method = new HeadMethod(tls12url); // Send request HttpClientParams params = new HttpClientParams(); params.setParameter(HttpClientParams.COOKIE_POLICY, CookiePolicy.IGNORE_COOKIES); new HttpClient(params).executeMethod(method); method.setFollowRedirects(true); // Print response System.out.println(location.toString()); System.out.println(method.getStatusLine().toString()); } catch (javax.net.ssl.SSLHandshakeException ex) { System.out.println("There was an error making a secure connection to " + location.getHost()); ex.printStackTrace(System.out); } catch (HttpException ex) { System.out.println("There was an error with the external webpage"); ex.printStackTrace(System.out); } catch (Exception ex) { System.out.println("Could not complete request"); ex.printStackTrace(System.out); } } System.out.println(); System.out.println("-------------------------"); System.out.println(); try { // Load supported SSL Ciphers System.out.println("Supported ciphers"); System.out.println(); System.out.println("-------------------------"); System.out.println(); javax.net.ssl.SSLSocket socket = (javax.net.ssl.SSLSocket)tls12factory.createSocket("www.google.com", 443); for(String cipher : socket.getSupportedCipherSuites()) { System.out.println(cipher); } System.out.println(); System.out.println("-------------------------"); System.out.println(); // Load enabled SSL Ciphers System.out.println("Enabled ciphers"); System.out.println(); System.out.println("-------------------------"); System.out.println(); for(String cipher : socket.getEnabledCipherSuites()) { System.out.println(cipher); } System.out.println(); System.out.println("-------------------------"); System.out.println(); // Load the JDK''s cacerts keystore file String filename = System.getProperty("java.home") + "/lib/security/cacerts".replace(''/'', File.separatorChar); System.out.println("Loading keystore"); System.out.println(filename); System.out.println(); System.out.println("-------------------------"); System.out.println(); FileInputStream is = new FileInputStream(filename); KeyStore keystore = KeyStore.getInstance(KeyStore.getDefaultType()); String password = "changeit"; keystore.load(is, password.toCharArray()); // This class retrieves the most-trusted CAs from the keystore PKIXParameters params = new PKIXParameters(keystore); // Get the set of trust anchors, which contain the most-trusted CA certificates for (TrustAnchor ta : params.getTrustAnchors()) { // Print certificate System.out.println(ta.getTrustedCert()); } } catch (CertificateException | KeyStoreException | NoSuchAlgorithmException | InvalidAlgorithmParameterException | IOException ex) { System.out.println("Could not load keystore"); ex.printStackTrace(System.out); } } }

JVM necesita reiniciarse después de importar certificados al almacén de claves.

Lo que describiste es exactamente lo que he estado obteniendo al usar cmd.exe y un usuario regular aunque miembro del grupo administrativo en un servidor Windows. Debe iniciar cmd.exe en el modo de administración para aplicar los cambios a los archivos de cacerts. Al menos en los sistemas operativos Win2k8.

Si no lo hace, estos caracteres le mostrarán en la vista de keytool.exe -list recién agregados, pero Tomcat no los verá. No estoy seguro de por qué. Pero cuando lo agregue con cmd.exe iniciado como Administrador, Tomcat está bien con los certificados recién agregados.

También puede usar Djavax.net.debug="ssl,handshake" para ver lo que Tomcat lee en el archivo cacerts.