Reading Client Certificate en Servlet

Question

Tengo un escenario de comunicación de servidor de cliente en JBOSS y navegador como cliente (JAVA PROGRAM). Inicialmente, cuando se realiza la conexión, el cliente envía su certificado al servidor. El servidor extrae la clave pública del cliente del certificado y, por lo tanto, la comunicación continuará.
Ahora mi pregunta es
¿Cómo enviar el certificado (.cer) del Cliente al Servidor?
¿Cómo recibir el certificado y extraer su clave pública en el Servidor?

Answer 1

¿Cómo enviar el certificado (.cer) del Cliente al Servidor?

El certificado del cliente (.cer, .crt, .pem) y su clave privada correspondiente (.key) se deben empaquetar primero en el contenedor PKCS # 12 (.p12, .pfx) o JKS (.jks) (keystore) También debe tener el certificado de CA del servidor empaquetado como JKS (almacén de confianza).

Ejemplo usando HttpClient 3.x:

HttpClient client = new HttpClient(); 
// truststore 
KeyStore trustStore = KeyStore.getInstance("JKS", "SUN"); 
trustStore.load(TestSupertype.class.getResourceAsStream("/client-truststore.jks"), "amber%".toCharArray()); 
String alg = KeyManagerFactory.getDefaultAlgorithm(); 
TrustManagerFactory fac = TrustManagerFactory.getInstance(alg); 
fac.init(trustStore); 
// keystore 
KeyStore keystore = KeyStore.getInstance("PKCS12", "SunJSSE"); 
keystore.load(X509Test.class.getResourceAsStream("/etomcat_client.p12"), "etomcat".toCharArray()); 
String keyAlg = KeyManagerFactory.getDefaultAlgorithm(); 
KeyManagerFactory keyFac = KeyManagerFactory.getInstance(keyAlg); 
keyFac.init(keystore, "etomcat".toCharArray()); 
// context 
SSLContext ctx = SSLContext.getInstance("TLS", "SunJSSE"); 
ctx.init(keyFac.getKeyManagers(), fac.getTrustManagers(), new SecureRandom()); 
SslContextedSecureProtocolSocketFactory secureProtocolSocketFactory = new SslContextedSecureProtocolSocketFactory(ctx); 
Protocol.registerProtocol("https", new Protocol("https", (ProtocolSocketFactory) secureProtocolSocketFactory, 8443)); 
// test get 
HttpMethod get = new GetMethod("https://127.0.0.1:8443/etomcat_x509"); 
client.executeMethod(get); 
// get response body and do what you need with it 
byte[] responseBody = get.getResponseBody(); 

Es posible ejemplo de trabajo en this project ver X509Test clase.

Con HttpClient 4.x configuración y la sintaxis sería ligeramente diferente:

HttpClient httpclient = new DefaultHttpClient(); 
// truststore 
KeyStore ts = KeyStore.getInstance("JKS", "SUN"); 
ts.load(PostService.class.getResourceAsStream("/truststore.jks"), "amber%".toCharArray()); 
// if you remove me, you've got 'javax.net.ssl.SSLPeerUnverifiedException: peer not authenticated' on missing truststore 
if(0 == ts.size()) throw new IOException("Error loading truststore"); 
// tmf 
TrustManagerFactory tmf = TrustManagerFactory.getInstance(TrustManagerFactory.getDefaultAlgorithm()); 
tmf.init(ts); 
// keystore 
KeyStore ks = KeyStore.getInstance("PKCS12", "SunJSSE"); 
ks.load(PostService.class.getResourceAsStream("/" + certName), certPwd.toCharArray()); 
// if you remove me, you've got 'javax.net.ssl.SSLPeerUnverifiedException: peer not authenticated' on missing keystore 
if(0 == ks.size()) throw new IOException("Error loading keystore"); 
// kmf 
KeyManagerFactory kmf = KeyManagerFactory.getInstance(KeyManagerFactory.getDefaultAlgorithm()); 
kmf.init(ks, certPwd.toCharArray()); 
// SSL 
SSLContext ctx = SSLContext.getInstance("TLS"); 
ctx.init(kmf.getKeyManagers(), tmf.getTrustManagers(), null); 
// socket 
SSLSocketFactory socketFactory = new SSLSocketFactory(ctx, SSLSocketFactory.ALLOW_ALL_HOSTNAME_VERIFIER); 
Scheme sch = new Scheme("https", 8443, socketFactory); 
httpclient.getConnectionManager().getSchemeRegistry().register(sch); 
// request 
HttpMethod get = new GetMethod("https://localhost:8443/foo"); 
client.executeMethod(get); 
IOUtils.copy(get.getResponseBodyAsStream(), System.out); 

Como recibir el certificado y extraer su clave pública en el servidor?

Su servidor debe estar configurado para requerir la autenticación de certificado de cliente X.509. Luego, durante el protocolo SSL, el servlet container recibirá el certificado, lo comprobará contra trustore y lo proporcionará a la aplicación como un atributo de solicitud. En caso habitual con certificado único que podría utilizar este método en el entorno de servlet para extraer el certificado:

protected X509Certificate extractCertificate(HttpServletRequest req) { 
    X509Certificate[] certs = (X509Certificate[]) req.getAttribute("javax.servlet.request.X509Certificate"); 
    if (null != certs && certs.length > 0) { 
     return certs[0]; 
    } 
    throw new RuntimeException("No X.509 client certificate found in request"); 
}