java - 忽略過期的ssl證書

Question

URL myUrl = new URL("https://www....."); 

網站的SSL證書已過期。如何避免它，並使URL（）工作？

Answer 1

你應該建立一個TrustManager換行默認的信任管理器，捕捉CertificiateExpiredException並忽略它。

注意：如this answer所述，這是否安全取決於實施。特別是，它依賴於最後完成的日期驗證，在正確檢查了其他所有內容之後。

東西沿着這些路線應該工作：

TrustManagerFactory tmf = TrustManagerFactory.getInstance(
    TrustManagerFactory.getDefaultAlgorithm()); 
// Initialise the TMF as you normally would, for example: 
tmf.init((KeyStore)null); 

TrustManager[] trustManagers = tmf.getTrustManagers(); 
final X509TrustManager origTrustmanager = (X509TrustManager)trustManagers[0]; 

TrustManager[] wrappedTrustManagers = new TrustManager[]{ 
    new X509TrustManager() { 
     public java.security.cert.X509Certificate[] getAcceptedIssuers() { 
      return origTrustmanager.getAcceptedIssuers(); 
     } 

     public void checkClientTrusted(X509Certificate[] certs, String authType) { 
      origTrustmanager.checkClientTrusted(certs, authType); 
     } 

     public void checkServerTrusted(X509Certificate[] certs, String authType) { 
      try { 
       origTrustmanager.checkServerTrusted(certs, authType); 
      } catch (CertificateExpiredException e) {} 
     } 
    } 
}; 

SSLContext sc = SSLContext.getInstance("TLS"); 
sc.init(null, wrappedTrustManagers, null); 
HttpsURLConnection.setDefaultSSLSocketFactory(sc.getSocketFactory()); 

信託經理拋出CertificateException S（詳見子類），什麼是錯用證書。具體說明你想要捕捉/忽略的內容。在你捕獲的東西可能被拋出之前，你真正要驗證的所有東西都必須被檢查，否則你也必須手動驗證它。比這更輕鬆的任何事情（尤其是沒有做任何事情，因此不會拋出任何異常）將完全忽略證書驗證和驗證，這與使用匿名密碼套件或忽略驗證大致相同。這將破壞使用SSL/TLS的安全性目的（而不是僅在有效期限內更靈活）。

Answer 2

您必須創建一個將忽略過期證書的自定義X509驗證程序。事實上，不會執行檢查。從這裏取

代碼：http://exampledepot.com/egs/javax.net.ssl/TrustAll.html

// Create a trust manager that does not validate certificate chains 
TrustManager[] trustAllCerts = new TrustManager[]{ 
    new X509TrustManager() { 
     public java.security.cert.X509Certificate[] getAcceptedIssuers() { 
      return null; 
     } 
     public void checkClientTrusted(
      java.security.cert.X509Certificate[] certs, String authType) { 
     } 
     public void checkServerTrusted(
      java.security.cert.X509Certificate[] certs, String authType) { 
     } 
    } 
}; 

// Install the all-trusting trust manager 
try { 
    SSLContext sc = SSLContext.getInstance("SSL"); 
    sc.init(null, trustAllCerts, new java.security.SecureRandom()); 
    HttpsURLConnection.setDefaultSSLSocketFactory(sc.getSocketFactory()); 
} catch (Exception e) { 
} 

// Now you can access an https URL without having the certificate in the truststore 
// It should work with expired certificate as well 
try { 
    URL myUrl = new URL("https://www....."); 
} catch (MalformedURLException e) { 
} 

Answer 3

我寫了一個自定義的TrustManager來解決這個問題，你可以在https://gist.github.com/divergentdave/9a68d820e3610513bd4fcdc4ae5f91a1看到它。此TrustManager將有問題的X509Certificate包裝在另一個類中，以禁用到期檢查，同時保留所有其他驗證。 （即匹配主機名，鏈接到受信任的CA，簽名有效等）