rmi sur ssl/tls, un moyen d'identifier en toute sécurité l'appelant?

Question

est-il un moyen d'obtenir en toute sécurité l'invocateur de la méthode lors de l'exécution de la méthode appelée (côté serveur)?

Je sais qu'il y a une chaîne cliente accessible via les propriétés du serveur, mais n'est-ce pas trop "faible"? tout moyen d'obtenir par exemple le propriétaire du certificat client?

s'il vous plaît me donner quelques conseils, WILL RTFD juste après;)

merci à l'avance

Answer 1

Je n'ai pas réfléchi à cela aussi bien, mais hors la main, je vous suggère un branchement dans un TrustManager personnalisé qui, après avoir authentifié l'appelant, associe le certificat client au thread de l'appelant. Cela peut être fait simplement avec un ThreadLocal, ou en utilisant l'architecture JAAS.

Answer 2

Ceci est l'un des majeurs problèmes avec RMI/SSL. Il n'y a aucun moyen d'obtenir le certificat d'homologue autrement que par l'intermédiaire de code supplémentaire tel que la suggestion d'erickson. Cela rend la situation dangereuse, car il n'y a aucun moyen d'effectuer une étape d'autorisation: vous obtenez la confidentialité, l'intégrité et l'authentification, mais pas d'autorisation. Voir mon White Paper pour une discussion prolongée.