0

Прошу знающих людей объяснить мне некоторые вещи, связаныне с ssl в фреймфорке Vertx.

Я хочу установить https соединение между клиентом и сервером, да ещё такое, чтобы не только сервер проверял открытый ключ клиента, но и чтобы клиент проверял сервер.

С первой часью я справился легко, добавив на сервер закрытый ключ, на клиент открытый в опицях, так же предварительно указав там, что соединение будет ssl. Vertx стал автоматически проверять публичый ключ клиента.

А вот со второй частью я уже не могу справиться т.к. добавив свой приватный ключ клиенту, а публичный отдав серверу, и так же настроив всё в опциях, клиент не првоеряет сервер. Пробовал подменять ключ на неверный у сервера, клиенту вообще пофиг.

Так же есть свойство в опицях, чтобы установить првоерку хоста. Если я ставлю эту опцию, то вообще соединение не устанавливается.

Скажите, пожалуйста, связана ли проверка хоста у клиента в vertx с проверкой публичного ключа с севрера и как вообще можно организовать данную проверку.

Опции сервера:


new HttpServerOptions()
    .setSsl(true)
    .setKeyStoreOption(
       new JksOptions()
            ...
    )
    .setTrustStoreOption(
       new JksOptions()
            ...
    )
    .setPort(port)
    .setHost(host); 

Опции клиента:

new HttpClientoptions()
    .setSsl(true)
    .setTrustStoreOption(
       new JksOptions()
            ...
    )
    .setKeyStoreOption(
       new JksOptions()
            ...
    )
    .setVerifyHost(true)
    .setkeepAlive(true);

5
  • Вам надо для начала разобраться в чем вообще смысл ключей и сертификатов. Свой приватный ключ (серверный, насколько я понимаю) нельзя добавлять клиенту. На то он и приватный. И Вы скорее всего добавили на клиент публичный ключ сервера, а еще точнее в траст стор на стороне клиента добавили сертификат с публичным ключом сервера. Это надо, чтобы клиент проверял подлинность сервера, а не для того чтобы сервер проверял клиента.
    – Alexey R.
    27 авг 2020 в 13:24
  • Нет-нет, должно быть вы меня не так поняли. У сервера свой приватный ключ, а клиента свой приватный ключ и они поделились друг с другом публичными ключами для взаимной проверки. Это ведь должно так работать?
    – Chippa
    27 авг 2020 в 13:27
  • Да. Не просто ключами, а сертификатами. Иначе сервер не может быть уверен, что ключ присланный клиентом действительно был прислан тем субъектом кем он себя заявил.
    – Alexey R.
    27 авг 2020 в 13:31
  • Ну вроде с этой точки зрения я всё сделал так, только сертефикаты у меня самоподписаныне. Не могли бы вы подсказать. как со стороны vertx-а это правльно добавить в опции и организовать взаимную проверку ? VerifyHost как-то может в этом помочь ?
    – Chippa
    27 авг 2020 в 13:34
  • 1
    Может, если серверный сертификат проверяется, то клиента можно и по паролю пустить; соединение то зашифровано уже 27 авг 2020 в 22:14

1 ответ 1

0

Похоже опции были заданы мной не совсем верно при настройке клиента и сервера.

Исправленные

Опции сервера:

new HttpServerOptions()
    .setSsl(true)
    .setKeyStoreOption(
       new JksOptions()
            ...
    )
    .setTrustStoreOption(
       new JksOptions()
            ...
    )
    .setClientAuth(ClientAuth.REQUIRED)
    .setPort(port)
    .setHost(host); 
    

Опции клиента:


new HttpClientoptions()
    .setSsl(true)
    .setTrustStoreOption(
       new JksOptions()
            ...
    )
    .setKeyStoreOption(
       new JksOptions()
            ...
    )
    .setVerifyHost(false)
    .setkeepAlive(true);

Добавил ещё один пункт .setClientAuth(ClientAuth.REQUIRED) и проверка работает.

Не до конца уверен, но по крайней мере при подмене ключей оно хотя бы ругается и не даёт установить соединение

Ваш ответ

By clicking “Отправить ответ”, you agree to our terms of service and acknowledge that you have read and understand our privacy policy and code of conduct.

Всё ещё ищете ответ? Посмотрите другие вопросы с метками или задайте свой вопрос.