Problème lors de l'accès au site Web avec Java en utilisant HTTPS (certificat de confiance)

Question

J'essaie d'accéder à un site en utilisant HTTP à partir d'une application Java. Comme l'application s'exécute dans un environnement de développement, le certificat correspondant n'est pas approuvé. Lorsque j'utilise le package javax.net.ssl, j'essaie de définir une implémentation TrustManager personnalisée qui permette tout et passe dans le second paramètre de la méthode init du SslContext, mais cela ne fonctionne pas.

Est-ce que quelqu'un fait travailler quelque chose comme ça? Merci beaucoup pour votre aide! Thierry

Answer 1

Si vous faites confiance au certificat, vous devez l'ajouter au fichier de clés certifiées de votre serveur d'applications. la mise en œuvre d'un gestionnaire de confiance qui n'effectue pas de vérification de certificat est une faille de sécurité.

Answer 2

Il est assez facile à mettre en œuvre un TrustManager qui ne vérifie rien (fonctionne aussi bien côté client et serveur):

public class NoVerifyTM implements X509TrustManager 
{ 
    void checkClientTrusted(X509Certificate[] chain, String authType) { 
    /* Accept All */ 
    } 

    void checkServerTrusted(X509Certificate[] chain, String authType) { 
    /* Accept All */ 
    } 

    X509Certificate[] getAcceptedIssuers() { 
    return new X509Certificate[0] 
    } 
} 

Pour utiliser cette TrustManager:

SSLContext ctx = SSLContext.getDefault(); 
ctx.init(null, new TrustManager[] { new NoVerifyTM() }, null); 
SSLSocketFactory sf = ctx.getSocketFactory(); 

S'il vous plaît noter que (comme dit par @hanwg) un tel gestionnaire de confiance ne devrait être utilisé qu'à des fins de test/prototypage.