CertificateException: имя, совпадающее с ssl.someUrl.de, не найдено

Похоже, сертификат сервера, к которому вы пытаетесь подключиться, не соответствует его имени хоста.

Когда клиент HTTPS подключается к серверу, он проверяет, совпадает ли имя хоста в сертификате с именем хоста сервера. Недостаточно доверять сертификату, он также должен соответствовать серверу, с которым вы хотите общаться. (По аналогии, даже если вы доверяете паспорту как законному, вам все равно необходимо проверить, что это тот, с которым вы хотите поговорить, а не просто паспорт, который вы считаете законным.)

В HTTP это делается путем проверки того, что:

• сертификат содержит запись альтернативного имени субъекта DNS (это стандартное расширение), совпадающую с именем хоста;

• в противном случае последний CN отличительного имени вашего субъекта (это главное имя, если хотите) совпадает с именем хоста. (См. RFC 2818.)

Трудно сказать, что такое альтернативное имя субъекта, не имея сертификата (хотя, если вы подключитесь к своему браузеру и проверите его содержимое более подробно, вы сможете его увидеть). Отличительное имя субъекта выглядит следующим образом:

[email protected], CN=plesk, OU=Plesk, O=Parallels, L=Herndon, ST=Virginia, C=US

(Таким образом, это должно быть CN = ssl.someUrl.de вместо CN = plesk, если у вас уже нет альтернативного имени субъекта с DNS: ssl.someUrl.de; я предполагаю, что у вас его нет.)

Вы можете обойти проверку имени хоста, используя HttpsURLConnection.setHostnameVerifier (..). Не должно быть слишком сложно написать собственный HostnameVerifier, который обходит проверку, хотя я бы посоветовал делать это только тогда, когда сертификат касается именно того, о котором идет речь. Вы должны иметь возможность получить это, используя аргумент SSLSession и его метод getPeerCertificates ().

(Кроме того, вам не нужно устанавливать свойства javax.net.ssl. * Так, как вы это сделали, поскольку вы все равно используете значения по умолчанию.)

В качестве альтернативы, если у вас есть контроль над сервером, к которому вы подключаетесь, и его сертификатом, вы можете создать его сертификат, который соответствует приведенным выше правилам именования (CN должно быть достаточно, хотя альтернативное имя субъекта является улучшением). Если самозаверяющий сертификат подходит для того, что вы называете, убедитесь, что его общее имя (CN) - это имя хоста, с которым вы пытаетесь поговорить (не полный URL-адрес, а только имя хоста).

В Java 8 вы можете пропустить проверку имени сервера с помощью следующего кода:

HttpsURLConnection.setDefaultHostnameVerifier ((hostname, session) -> true);

Однако это следует использовать только в разработке!

Я создал метод fixUntrustCertificate (), поэтому, когда я имею дело с доменом, не входящим в доверенные центры сертификации, вы можете вызвать этот метод до запроса. Этот код будет работать после java1.4. Этот метод применяется ко всем хостам:

public void fixUntrustCertificate() throws KeyManagementException, NoSuchAlgorithmException{


        TrustManager[] trustAllCerts = new TrustManager[]{
            new X509TrustManager() {
                public java.security.cert.X509Certificate[] getAcceptedIssuers() {
                    return null;
                }

                public void checkClientTrusted(X509Certificate[] certs, String authType) {
                }

                public void checkServerTrusted(X509Certificate[] certs, String authType) {
                }

            }
        };

        SSLContext sc = SSLContext.getInstance("SSL");
        sc.init(null, trustAllCerts, new java.security.SecureRandom());
        HttpsURLConnection.setDefaultSSLSocketFactory(sc.getSocketFactory());

        HostnameVerifier allHostsValid = new HostnameVerifier() {
            public boolean verify(String hostname, SSLSession session) {
                return true;
            }
        };

        // set the  allTrusting verifier
        HttpsURLConnection.setDefaultHostnameVerifier(allHostsValid);
}

Если вы ищете ошибку Kafka, это может быть связано с обновлением версии Kafka с 1.x до 2.x.

javax.net.ssl.SSLHandshakeException: общая проблема SSLEngine ... javax.net.ssl.SSLHandshakeException: общая проблема SSLEngine ... java.security.cert.CertificateException: совпадение имен не найдено ***

or

[Производитель clientId = продюсер-1] Соединение с узлом 2 не прошло аутентификацию из-за сбоя установления связи SSL.

Значение по умолчанию для ssl.endpoint.identification.algorithm было изменено на https, который выполняет проверку имени хоста (в противном случае возможны атаки типа «человек посередине»). Задайте для ssl.endpoint.identification.algorithm пустую строку, чтобы восстановить предыдущее поведение. Apache Kafka Заметные изменения в 2.0.0

Решение: SslConfigs.SSL_ENDPOINT_IDENTIFICATION_ALGORITHM_CONFIG, ""

Я нашел здесь хорошее разрешение: http://www.mkyong.com/webservices/jax-ws/java-security-cert-certificateexception-no-name-matching-localhost-found/

Но моя проблема была немного другой и решила ее по-другому.

Веб-служба находилась на удаленном хосте. Например: https://some.remote.host/MyWebService?wsdl.

Но для любых клиентов он был доступен только по IP, а сертификат был создан для домена: some.remote.host (CN = some.remote.host). И этот домен не может быть разрешен по IP, потому что он не представлен в DNS).

Итак, возникла та же проблема: если я использую IP для подключения к веб-сервису по ssl, он не может быть достигнут, потому что сертификат CN = some.remote.host не равен указанному мной имени хоста (т.е. IP хоста) .

Я решил это, сопоставив это имя хоста с IP в файле / etc / hosts. Проблема была устранена.

Но в случае, когда веб-сервис размещен на сервере приложений localhost, он считает, что это должно быть решено, как mkyong, описанный в его статье.

Имя сервера должно совпадать с именем / фамилией, которое вы даете при создании сертификата.

В случае, если это кому-то поможет:

Пример использования: я использую самозаверяющий сертификат для разработки на localhost.

Ошибка: Причина: java.security.cert.CertificateException: имя, соответствующее локальному хосту, не найдено

Решение. Когда вы создаете самозаверяющий сертификат, убедитесь, что вы ответили на этот вопрос следующим образом (см. ответ Бруно, чтобы узнать, почему):

What is your first and last name?
  [Unknown]:  localhost

В качестве бонуса вот мои шаги:
1. Создать самозаверяющий сертификат:

keytool -genkeypair -alias netty -storetype PKCS12 -keyalg RSA -keysize 2048 -keystore keystore.p12 -validity 4000
Enter keystore password: ***
Re-enter new password: ***
What is your first and last name?
  [Unknown]:  localhost
...

2. Скопируйте сертификат в src / main / resources (при необходимости)

3. Обновите cacerts
keytool -v -importkeystore -srckeystore keystore.p12 -srcstoretype pkcs12 -destkeystore "% JAVA_HOME% \ jre \ lib \ security \ cacerts" -deststoretype jks

4. Обновите свою конфигурацию (в моем случае application.properties):

server.port=8443
server.ssl.key-store=classpath:keystore.p12
server.ssl.key-store-password=jumping_monkey
server.ssl.key-store-type=pkcs12
server.ssl.key-alias=netty

Ура

можно пропустить проверку имени хоста, установив свойство виртуальной машины:

-Djdk.internal.httpclient.disableHostnameVerification

Это работает с реализацией Java 11 HttpClient.