Tomcat服务器信任库根证书

我需要信任我的tomcat上的客户端证书，我已经将根（verisign）和客户域证书添加到服务器信任库，并且它工作正常并接受客户端连接。Tomcat服务器信任库根证书

现在的问题是，是否将根verisign证书添加到信任库接受任何签名的verisign证书？或者，如果我将它添加到cacerts中，情况会如此吗？将它放置在信任库中是否安全？

我使用Tomcat 6和Java 1.6的Linux

感谢

2012-08-15 kontiki

Java安全性由Scott Oaks告诉我，我必须在truststore中拥有CA的根证书，所以我会保留这个权限。 – kontiki 2012-08-15 08:37:05

并添加根证书威瑞信的信任接受由威瑞信证书签署什么？

是的。您的应用程序仍然需要根据分配给证书所标识的用户的角色执行授权步骤。您不应该试图单独使用信任库和证书来做到这一点，这不是该机制的目的。它用于身份验证。你在谈论授权。

注意您正在使用本地信任库而不是 JRE的cacerts文件。

2012-08-15 07:37:19 EJP

这非常完美，谢谢EJP，我们确实在应用程序中有进一步的身份验证，但我想这是最好的无论如何，不要在信任库中拥有CA？ – kontiki 2012-08-15 07:46:01

我认为你需要有完整的信任链，它从CA开始。通常的设置是：外部CA - 本地CA - 服务器 - 客户端。如果您只需要一台服务器，则您可以跳过本地CA，并且如果您没有使用它们（例如，使用证书对用户进行身份验证），则不必颁发客户端证书。 – 2012-08-15 07:56:15

@kontiki您必须拥有您在truststore中需要的任何内容来接受客户端证书。作为SSL握手的一部分，服务器发送它信任的根CA的列表，该列表来自信任库，并且客户端将其证书链发送到并包括它可以看到服务器已经信任的第一个根，但不再进一步。 – EJP 2012-08-15 09:08:59

回答