我正在使用以下代码调用远程 https URL:

   def inputStream = new URL("https://somewebsite.com").openStream()

这在我的本地机器上运行良好，但是当我部署到服务器时，出现以下异常:

java.security.cert.CertPathValidatorException: CA key usage check failed: keyCertSign bit is not set

此错误的原因是什么？是什么原因导致它在一台机器上而不是另一台机器上运行？

更新

我在生产环境中运行 Ubuntu 服务器，并在本地 Mac 上进行开发。我尝试访问的网站(我们称之为 peopleware.com)具有以下证书信息:

1. 添加信任外部 CA 根
2. UTN-USERFirst-硬件
3. peopleware.com

我已经尝试从我的浏览器中保存 .cer 文件并将它们安装到位于/etc/ssl/certs/java/castore 的 keystore 中

最佳答案

我假设您正在谈论来自 UTN-USERFirst-Hardware 的证书:

-----BEGIN CERTIFICATE----- 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 
-----END CERTIFICATE-----

在人类可读的版本中:

Version: 3 (0x2)
Serial Number:
    44:be:0c:8b:50:00:24:b4:11:d3:36:2a:fe:65:0a:fd
Signature Algorithm: sha1WithRSAEncryption
Issuer: C=US, ST=UT, L=Salt Lake City, O=The USERTRUST Network, OU=http://www.usertrust.com, CN=UTN-USERFirst-Hardware
Validity
    Not Before: Jul  9 18:10:42 1999 GMT
    Not After : Jul  9 18:19:22 2019 GMT
Subject: C=US, ST=UT, L=Salt Lake City, O=The USERTRUST Network, OU=http://www.usertrust.com, CN=UTN-USERFirst-Hardware
Subject Public Key Info:
    [...]
X509v3 extensions:
    X509v3 Key Usage: 
        Digital Signature, Non Repudiation, Certificate Sign, CRL Sign
    X509v3 Basic Constraints: critical
        CA:TRUE
    X509v3 Subject Key Identifier: 
        A1:72:5F:26:1B:28:98:43:95:5D:07:37:D5:85:96:9D:4B:D2:C3:45
    X509v3 CRL Distribution Points: 

        Full Name:
          URI:http://crl.usertrust.com/UTN-USERFirst-Hardware.crl

    X509v3 Extended Key Usage: 
        TLS Web Server Authentication, IPSec End System, IPSec Tunnel, IPSec User

本质上，我们这里有一个包含 X509v3 Key Usage 和 X509v3 Extended Key Usage 的 CA 证书。

然而，RFC 3280 says the following about the extended key usage extension :

In general, this extension will appear only in end entity certificates.

对于 CA 证书，这开始不太好，但后来，同一部分也这样说:

If a certificate contains both a key usage extension and an extended key usage extension, then both extensions MUST be processed independently and the certificate MUST only be used for a purpose consistent with both extensions. If there is no purpose consistent with both extensions, then the certificate MUST NOT be used for any purpose.

此 RFC 中此证书中唯一的扩展 key 使用扩展是 TLS Web 服务器身份验证:

   id-kp-serverAuth             OBJECT IDENTIFIER ::= { id-kp 1 }
   -- TLS WWW server authentication
   -- Key usage bits that may be consistent: digitalSignature,
   -- keyEncipherment or keyAgreement

当然，这与 keyCertSign 不一致，根据 RFC 3280(和 RFC 5280)。 (我也怀疑是否有任何 IPSec 扩展与 keyCertSign 兼容)。这使得该证书无法用于颁发证书(对于 CA 证书不是很有用)。

我会联系使用此证书的网站，要求他们联系他们的 CA(UTN-USERFirst-Hardware，显然是 Comodo)并要求他们解决此问题。我必须说，靠这些 RFC 赚钱的人看起来不太好。

当然，这可能需要一段时间，并且不能解决您眼前的问题。

我想我已经在其他中间 CA 证书中看到过这个主题 DN (UTN-USERFirst-Hardware)，所以上面的可能不是您正在使用的那个。

你可以做的(假设你能够手动验证服务器证书本身，尽管存在这些问题)是使用 SSLContext 和 TrustManager特别限于为此连接使用该证书。这可以防止证书路径算法试图找到颁发者证书而陷入此问题。

编辑:

这里是有关此解决方法的更多详细信息(它仍应确保您的连接安全)。

• 用 Firefox 连接到这个网站。
• 点击蓝色/绿色栏并选择“更多信息...”
• 安全 -> 查看证书 -> 详细信息
• 从顶部的列表中选择服务器证书，然后选择“导出...”
• 在某处使用 PEM 文件。

使用 keytool 创建一个新的 keystore (选择信任该证书并选择一个合理的密码):

keytool -importcert -keystore example.jks -file example.pem

然后，使用这段 Java 代码，它应该不难移植到 Groovy:

TrustManagerFactory tmf = TrustManagerFactory
    .getInstance(TrustManagerFactory.getDefaultAlgorithm());
KeyStore ks = KeyStore.getInstance("JKS");
FileInputStream fis = new FileInputStream("/.../example.jks");
ks.load(fis, null);
// or ks.load(fis, "thepassword".toCharArray());
fis.close();

tmf.init(ks);

SSLContext sslContext = SSLContext.getInstance("TLS");
sslContext.init(null, tmf.getTrustManagers(), null);

URL url = new URL("https://somewebsite.com");
HttpsURLConnection conn = (HttpsURLConnection) url.openConnection();
conn.setSSLSocketFactory(sslContext.getSocketFactory());

InputStream is = conn.getInputStream();

关于java - 打开 https URL : keyCertSign bit is not set 时出错，我们在Stack Overflow上找到一个类似的问题： https://stackoverflow.com/questions/10267968/