如果Jetty的密钥库中有多个证书，它如何选择？

我们的系统中有一些代码用于自动将自签名证书生成到密钥库中，然后由 Jetty 使用。如果给定主机的密钥已经存在，那么什么也不会发生，但如果它不存在，我们会生成一个新密钥，如下所示：

public void generateKey(String commonName) {
    X500Name x500Name = new X500Name("CN=" + commonName);
    CertAndKeyGen keyPair = new CertAndKeyGen("DSA", "SHA1withDSA");
    keyPair.generate(1024);
    PrivateKey privateKey = keyPair.getPrivateKey();
    X509Certificate certificate = keyPair.getSelfCertificate(x500Name, 20*365*24*60*60);
    Certificate[] chain = { certificate };
    keyStore.setEntry(commonName, privateKey, "secret".toCharArray(), chain);
}

只要密钥库中只有一个密钥和证书，这一切就可以正常工作。一旦您拥有多个密钥，当您尝试连接时就会发生奇怪的事情：

java.io.IOException: HTTPS hostname wrong:  should be <127.0.0.1>

这是一个相当神秘的错误，但我最终设法通过编写一个连接到服务器并断言证书上的 CN 与主机名匹配的单元测试来追踪它。我发现非常有趣 - Jetty 似乎任意选择向客户提供哪个证书，但以一致的方式。

例如：

• 如果“CN=localhost”和“CN=cheese.mydomain”位于密钥存储中，则它始终选择“CN=cheese.mydomain”。
• 如果“CN=127.0.0.1”和“CN=cheese.mydomain”位于密钥存储中，则它始终选择“CN=cheese.mydomain”。
• 如果“CN=192.168.222.100”(cheese.mydomain) 和“CN=cheese.mydomain”位于密钥存储中，则它始终选择“CN=192.168.222.100”。

我编写了一些代码，循环遍历商店中的证书以将其打印出来，发现它并没有始终如一地选择第一个证书或类似的任何琐碎的事情。

那么它到底使用什么标准呢？最初我认为 localhost 很特别，但第三个例子让我完全困惑了。

我认为这是由 KeyManagerFactory 以某种方式决定的，在我的例子中是 SunX509。

这确实是最终由KeyManager（通常从KeyManagerFactory).

密钥库可以有多个以不同别名存储的证书。如果没有通过显式配置别名certAlias在码头配置中 http://wiki.eclipse.org/Jetty/Howto/Configure_SSL, the SunX509实现将选择它找到的第一个别名，其中有一个私钥和一个适合所选密码套件的正确类型的密钥（通常是 RSA，但在您的情况下可能是 DSA）。如果您查看一下，选择逻辑还有更多内容Sun 提供商实施 http://grepcode.com/file/repository.grepcode.com/java/root/jdk/openjdk/6-b14/sun/security/ssl/X509KeyManagerImpl.java#X509KeyManagerImpl.chooseAlias%28java.util.List,java.security.Principal%5B%5D,sun.security.ssl.X509KeyManagerImpl.CheckType%29，但一般来说您不应该真正依赖顺序，而只依赖别名。

您当然可以给 Jetty 自己的SSLContext与你自己的X509KeyManager http://docs.oracle.com/javase/7/docs/api/javax/net/ssl/X509KeyManager.html选择别名。你必须实施：

 chooseServerAlias(String keyType, Principal[] issuers, Socket socket)

不幸的是，除了keyType and issuers，你要做的决定就是socket本身。最好的情况是，您获得的有用信息是本地 IP 地址和远程 IP 地址。

除非您的服务器在同一端口上侦听多个 IP 地址，否则您将始终获得相同的本地 IP 地址。 （在这里，显然，你至少有两个：127.0.0.1 and 192.168.222.100，但我怀疑除了您自己的测试之外，您对 localhost 并不真正感兴趣。）您需要服务器端的服务器名称指示（SNI）支持，以便能够根据请求的主机名（由客户端支持一下）。很遗憾，SNI仅在Java 7中引入，但仅在客户端 http://docs.oracle.com/javase/7/docs/technotes/guides/security/enhancements7.html.

您在这里将面临的另一个问题是Java 客户端会抱怨主题 DN 的 CN 中的 IP 地址 https://stackoverflow.com/a/8444863/372643。某些浏览器可以容忍这种情况，但这不符合 HTTPS 规范 (RFC 2818)。 IP 地址必须是 IP 地址类型的主题备用名称条目。