Java 的 SSL 驗證

一般在 Java 要存取 HTTPS 的服務的時候，大多數狀況因為常見的 CA 應該都已經列在 JRE 的 cacerts（CA Certification 檔）裡了，所以通常不會遇到什麼問題。不過如果遇到要存取的是像是公司內部的服務，公司自己有自己的 CA 時，可能就得做點事情來讓 HTTPS 的 SSL/TLS 能夠正常運作。

概念上來說，當一個客戶端要存取 HTTPS 的服務時，客戶端只會相信它相信的對象。而要如何決定要相信誰？方法就是客戶端自己會存放一個信任的 CA 的清單，如果發現 HTTPS 服務的憑證是由信任的 CA 所發放的、並且憑證所保護的對象也確實是現在存取的對象，那客戶端就會相信這個 HTTPS 服務。以 Java 的狀況來說，客戶端指的是 JRE，JRE 內建的信任 CA 的清單會是 $JAVA_HOME/lib/security/cacerts 這個檔案。如果沒有特別指定的話，Java 程式在存取 HTTPS 時，進行 SSL/TLS 三方握手時就會以 JRE 內建的 cacerts 來決定對方是否能夠信任。

不過現實上，CA 還會分成 Root Certificate 和 Intermediate Certificate，例如 [1] 的範例一樣：

這裡 Entrust.net Secure Server CA 是 Root Certificate，DigiCert High Assurance EV Root CA 和 DigiCert High Assurance CA-3 則都是 Intermediate Certificate，最後 *.atlassian.com 這個網域的憑證是由 DigiCert High Assurance CA-3 所簽發的。客戶端若要驗證 *.atlassian.com 的憑證，它必須要信任上面的所有 CA（也稱為 Certificate Chain）才行。

Cross-Origin Resource Sharing

Error 'handshake alert: unrecognized_name'

參考資料

1. SSL handshake alert: unrecognized_name error since upgrade to Java 1.7.0
2. Error 'handshake alert: unrecognized_name' when setting up application links after upgrading Confluence

在全新的 Apache 2.4 設定 HTTPS

在完成跟 GoDaddy 申請憑證之後，Godaddy 網站上可以取得兩個 CRT 檔
我這邊拿到的，一個是命名很像亂碼的 fe461f1ba212ab7.crt 檔案，另一個則是 gd_bundle-g2-g1.crt。
fe461f1ba212ab7.crt 這個檔案是 SSL Certificate File，而 gd_bundle-g2-g1.crt 則是 SSL Certificate Chain File
加上申請憑證前，我們需要自行先產生的金鑰，假設檔名是 my-private-key.key
總共有三個檔案，就可以完成 Apache 2.4 的 HTTPS 設定了。

Apache 2 SSL 的 Passphrase 問題

在 Apache 2 裡，如果要使用有被 Passphrase 保護的 key 給 SSL 使用
必須在某處提供 SSL 的 Passphrase 才能讓 Apache 正常啟動。

一般內建的方法是使用 builtin，也就是 Apache 啟動時會直接詢問使用者
其他方法則是可以把 Passphrase 寫在某個檔案裡，要 Apache 啟動時去讀取。

而寫設定的地方，在我的 container 中是放在 /etc/apache2/mods-enabled/ssl.conf 裡。

如果是不想那麼麻煩地處理 Passphrase 問題，想把他從金鑰中移掉
則可以參考 [2] 的方法，只需要指定輸入和輸出的金鑰檔名，然後輸入 Passphrase
就可以重製出一個不需要 Passphrase 的金鑰了。

以 RSA 的金鑰來說，指令如下：

openssl rsa -in /path/to/your/rsakey.key -out /path/to/your/rsa.nocrypt.key

參考資料

1. Apache Requires SSL / Passphrase
2. Remove the passphrase from an existing OpenSSL key file

(書籤) SSL 憑證

參考資料：

1. [筆記] SSL 憑證購買記
2. 憑證簽章要求 (CSR) 產生說明 - Apache SSL
3. OpenSSL - 金鑰與憑證的管理
4. 使用 openssl 產生 SSL 電子證書
5. Apache Requires SSL / Passphrase
6. Difference between OpenSSL and keytool
7. OpenSSL 操作筆記 - 檔案格式轉換
8. Difference between trustStore and keyStore in Java – SSL
9. How to add or list certificates from keystore or trustStore in Java - Keytool Example
10. Re:[問題] URLConnection 產生了HTTP 405 Exception [Re:piaoyi]