SSL握手失败java.security.cert.CertPathValidatorException:证书链接错误
SSL握手失败是指在建立安全的HTTPS连接时，客户端和服务器之间的SSL握手过程中出现了错误。java.security.cert.CertPathValidatorException:证书链接错误是一种常见的SSL握手失败错误，它表示证书链中的某个证书存在问题，导致无法验证服务器的身份。
SSL（Secure Sockets Layer）是一种用于保护网络通信安全的协议，它通过加密数据传输和验证服务器身份来确保通信的机密性和完整性。在SSL握手过程中，客户端会验证服务器的证书，以确保服务器的身份合法可信。
当出现java.security.cert.CertPathValidatorException:证书链接错误时，可能有以下几种原因和解决方法：
- 证书链不完整或损坏：证书链是由服务器证书、中间证书和根证书组成的。如果证书链不完整或损坏，就会导致验证失败。解决方法是确保证书链完整，并且证书链中的每个证书都是有效的。
- 证书过期：证书有一个有效期限，如果证书已过期，就会导致验证失败。解决方法是使用有效期内的证书，或者更新证书。
- 证书颁发机构（CA）不受信任：如果服务器的证书由一个不受信任的CA颁发，就会导致验证失败。解决方法是将该CA的根证书添加到客户端的信任存储中。
- 证书主题与服务器域名不匹配：证书中包含了服务器的域名信息，如果证书的主题与实际访问的服务器域名不匹配，就会导致验证失败。解决方法是确保证书的主题与服务器域名一致。
- 证书链中的证书被吊销：如果证书链中的某个证书被吊销，就会导致验证失败。解决方法是检查证书链中的每个证书是否被吊销。
对于SSL握手失败的问题，可以使用腾讯云的SSL证书服务来解决。腾讯云SSL证书服务提供了高品质的数字证书，支持多种类型的证书，包括DV（域名验证）、OV（组织验证）和EV（增强验证）证书。您可以通过腾讯云SSL证书服务购买和管理证书，确保您的网站和应用程序的安全性。
腾讯云SSL证书服务链接：https://cloud.tencent.com/product/ssl
相关·内容
我有下面的证书层次结构。我需要在Apache上进行客户端身份验证。
.
└── root (CA) - self signed
├── intermediate 1 (CA)
| ├── client1
| ├── client2
└── intermediate 2 (CA)
├── client3
└── client4
谁应该存储中间证书(客户机还是服务器)？
我希望只在服务器上存储一个根CA来验证所有客户端证书。主要原因是中间CA的列表可以增长，我不想更新Apache配置中存储的所有证书。
这在技术上可行吗？SSL
浏览 0提问于2014-04-29得票数 1
回答已采纳
我确信这是嵌入在SSL证书/HTTPS规范的详细信息中的，但我并不是完全理解这个主题。
如果现代浏览器连接到HTTPS站点，则HTTP请求的正文是加密的。SSL证书本质上是用于在客户端和服务器之间来回通信的“公共”密钥吗？
黑客不能从公共站点获取公钥，比如"“，监视客户端/服务器流量并解密数据吗？
此外，客户端是否需要验证证书的“颁发者”。例如，自签名证书客户端不需要验证，但是对于由受信任的颁发者提供的证书，在证书验证过程中会发生什么？
浏览 2提问于2012-12-17得票数 0
回答已采纳
2回答
当我在某个服务器上建立TLS/SSL时，他会在此过程中向我发送证书。证书由证书颁发机构签名。
在我的PC/浏览器中，我有一个可信证书颁发机构的列表。
我是将证书发送给颁发机构，还是在本地验证它(使用存储在证书颁发机构列表中的数据检查证书的签名)？
(注意:如果需要，请使用浏览器作为示例TLS/SSL客户端)
浏览 0提问于2018-10-31得票数 2
我一直在遵循本教程来创建根CA、中间CA和服务器证书。
我可以核实：
具有根证书的中间证书
具有中间证书的服务器证书
但是，我无法用根证书验证包中间证书+服务器证书。
换言之：
# verify intermediate cert with root cert: OK
openssl verify -CAfile root/certs/ca.cert.pem intermediate/certs/intermediate.cert.pem
# verify server cert with intermediate cert: OK
openssl verify -CAfile interm
浏览 0提问于2018-07-24得票数 1
回答已采纳
2回答
当我使用https登录到我的银行帐户时，在输入登录信息之前，它只是服务器端的SSL身份验证。我的浏览器根据SSL会话期间来自服务器的证书信息进行服务器身份验证。我不必将服务器证书作为可信证书手动导入到浏览器中。它只是在SSL交换期间的运行时发生的。
另一方面，我也看到了一些应用程序，其中一个必须手动导入证书(例如，使用keytool )当你查看他们的安装指南时。
问题是:如果证书信息是在SSL会话开始时交换的，则每个方都有足够的信息来验证对方的身份。为什么有些应用程序需要从客户端和服务器之间手动导入证书。无论是一方认证还是双方身份验证。
基于以下回复的其他信息:我指的是在客户端SSL身份验证打
浏览 2提问于2011-04-24得票数 0
回答已采纳
3回答
在我的网络中，有一个只有一个CA发出所有x509证书的PKI。因此，在我的网络上，所有服务器和客户端都拥有来自我的CA的证书，该证书与私钥一起存储在相应的密钥存储库中。在进行TLS相互身份验证时，每个服务器和客户端都有一个链文件中的CA证书，用于验证对等x509证书的信任链。都很好。假设我现在的网络上有两个服务器和两个客户端，我希望确保Client_A和Server_A使用它们的x509证书进行相互身份验证，就像Client_B和Server_B应该做的那样。同时，我希望确保Client_A和Server_B之间的TLS相互认证不会成功。(在Client_B和Server_A之间也有效)。
如
浏览 3提问于2017-10-06得票数 2
回答已采纳
2回答
拥有双层PKI的好处是什么？
、、、、
根据我阅读文献的方式，具有离线根CA的两层PKI传家宝提供冗余和额外的安全层，以防您的从属CA的私钥被泄露。但这是如何运作的呢？
假设我有一个脱机根CA，并使用它对从属CA进行签名，然后使用从属CA对内部web服务器进行签名。现在让我们假设从属CA的密钥被破坏了。根据文献没有问题。你只需要烧掉你的下属，建立一个新的。然后你启动根CA并签下新的下属，你就会重新开始工作。
问题是web服务器使用现在无效的从属CA证书进行签名，并且信任链被打破。那么，我还需要用新下属的密钥重新签署web服务器吗？如果我必须与新的下属重新签名，那么拥有离线根CA的目的是什么？
很明显我在这里不懂什么。
浏览 0提问于2017-08-02得票数 0
我们正在用SHA1散列代替证书，这是因为谷歌在Chrome中让证书看起来不那么安全。替换证书使用的中间CA与我们当前使用的CA不同，但使用的根CA相同。在测试过程中，我们注意到我们的SSL客户端将无法使用新的证书验证链，我们不太明白原因。
具体情况如下：
当前，服务器发送的链如下所示：
根CA，由服务器CA X从同一权威机构签名(随服务器证书一起提供)
中间CA 1(附带服务器证书)
服务器证书
在我们的SSL客户端中，我们信任：
根CA，自签名，但相同的CN和相同的密钥(相同的打滑)！(从权威下载；与Mozilla在其产品中包含的内容相同)
中间CA 1(与服务器发送的CA 1相同)
这适用
浏览 0提问于2014-10-31得票数 14
回答已采纳
1回答
对于从客户端浏览器到服务器的启用SSL站点的工作流，我有一个基本问题。我的理解是当浏览器必须访问一些启用https的站点时，浏览器会联系一些CA。我假设浏览器将知道(通过浏览器代码中的硬编码信息)某些证书颁发机构(CA)的IP地址以及这些CA的公钥，从而保护与CA之间的通信。然后，CA将通过安全通道(通过CA密钥)返回站点的公钥。然后浏览器将请求发送到服务器的公钥加密的服务器。
这种理解正确吗？尽管这引发了另一个问题，即如果有人拦截加密请求和加密响应(客户机和服务器之间)，因为在图片中没有客户机的密钥出现在图片中。
编辑:我想，我错过了会话密钥在数据交换中的作用，以及如何建立这个会话密钥。
浏览 0提问于2021-06-11得票数 0
回答已采纳
2回答
openssl证书链输出
、、、
我读了安卓开发者的“HTTPS和SSL安全指南”，并阅读了这个段落。
本段讨论的事实是，服务器在SSL握手过程中并不总是返回整个证书链，通常只返回服务器证书和链的根CA。该链使用openssl：openssl s_client -connect egov.uscis.gov:443显示。
这让我有些怀疑：
该段指出，浏览器为了管理此服务器配置，只需在访问具有完整证书链的服务器中的站点时缓存中间CA，而当浏览器访问服务器中只提供“叶”和“根”证书的另一个站点时，则使用缓存的中间CA证书跟随该链。但是，如果浏览器访问服务器中只返回服务器和“根”证书的站点，而浏览器还没有缓存中间CA的证书，会发生什
浏览 0提问于2018-09-27得票数 1
3回答
当CA的SSL证书存储在浏览器中时，呈现由此CA签名的证书的服务器可以由浏览器进行验证。我的问题是:这一核查究竟是如何完成的？
我知道服务器向浏览器提供的证书包含诸如服务器的公钥和服务器标识信息(如服务器名称、位置等)等信息。
但是浏览器要证明这些信息是正确的，就需要第二次复制相同的信息来进行比较，并确定是否匹配。我知道服务器的名称是URL的一部分，因此浏览器可以获取URL中的值并与证书中的信息进行比较。但是证书中的其他信息呢？当没有第二个副本可与之比较时，如何验证它？
浏览 0提问于2016-07-17得票数 2
关于在嵌入式设备
上存储根CA证书的
设置说明: 1.网络上的嵌入式设备，它是网络上的客户端。2.在SSL/TLS上有一个连接到客户端的服务器。
此外，我们可以从任何web浏览器访问服务器。当连接到服务器时，我们已经从web浏览器中提取了以下证书。
这些证书是
1.根CA 2.中间**CA域验证CA.**
可以看出，在浏览器中，它是作为证书链存储的。
现在的查询是，我们是否需要将两个证书都存储在嵌入式设备上，或者任何一个都足够。如果只有一个，则应该是根CA或中间域验证CA证书。
请尽快提供投入。
提前谢谢。
致以敬意，
SSK
浏览 0提问于2015-01-28得票数 0
我有两个场景用于创建带有客户端验证的ssl连接。
1-我的android客户端和服务器拥有由同一个CA签名的证书，启用了服务器上的客户端验证。我在信任管理器密钥库中加载CA证书，在密钥管理器密钥库中加载客户端key+cert+ca，并将其传递给ssl.init(密钥管理器、信任管理器)。它工作得很好，双方互相交换和验证证书。
2-现在我有不同CA签署的客户端和服务器证书，比如由ServerCA签署的服务器证书和由ClientCA签署的客户端证书。我重复上述过程，但客户端从来不发送任何证书时，服务器要求，为什么？
在ssl.init中，密钥管理器和信任管理器之间的联系是什么？
浏览 1提问于2012-08-28得票数 1
回答已采纳
1回答
在此过程中，我们设置了一个新的服务器2008 R2盒(是的，我知道它是旧的，但这就是运行该软件的内容)，以尝试复制或确定故障排除方法。
我们正在调查的一条路线是TLS握手。测试应用程序是用.NET编写的，并且启用了适当的System.Diagnostics调试，这会将以下条目放在日志文件中：
System.Net信息:0：22724 SecureChannel#48979325 -我们有用户提供的证书.服务器指定了10个发行人(S)。寻找与任何发行人相匹配的证书。
我们无法看到这份发行人名单，因此我们推出了OpenSSL。运行以下命令：
openssl s_client -connect wi
浏览 0提问于2018-12-21得票数 5
回答已采纳
2回答
我想以网站的形式为客户提供云服务。现在我有了一个想法，如果这个客户(几个雇员)也用客户证书对自己进行身份验证，那么它将极大地提高安全性。然后，应将此证书安装在他的办公室计算机和平板电脑上。服务器SSL证书是Letsencrypt证书。根据客户端证书，我还可以知道私钥，但从我的角度来看，这并不危险，因为它只用于对我的服务器进行身份验证。
是否有可行的解决方案来为客户提供客户端证书，然后将其公钥存储在我的HTTP服务器上？
我可以从认证机构购买这样的客户端证书吗？我是否正确理解了，如果我生成自己的客户端证书，客户还必须信任我的CA，这会带来安全风险？或者客户是否只能信任此生成的证书，而不信任我的自
浏览 15提问于2021-11-13得票数 0
1回答
我们在我们的网站上进行了PCI DSS外部漏洞扫描，扫描失败了，有许多漏洞，所有这些漏洞都是PCI严重性:除了一个介质和另一个高度之外，其他漏洞都很低。
最高的是：
威胁: SSL证书与实体(个人、组织、主机等)关联。用一把公钥。在SSL连接中，客户端使用服务器的证书对远程服务器进行身份验证，并提取证书中的公钥以建立安全连接。验证是通过验证证书中的公钥是否由受信任的第三方证书颁发机构签名来完成的。如果客户端无法验证证书，它可以中止通信或提示用户继续通信而不进行身份验证。影响:通过利用此漏洞，中间人攻击可能与DNS缓存中毒同时发生.例外情况:如果服务器只与具有服务器证书或受信任CA证书的受限制客
浏览 0提问于2017-06-16得票数 0
1回答
双向SSL/TLS配置
、、、
如果仅在服务器身份验证中正确理解SSL/TLS，则在握手之后，服务器将向客户端发送它的公钥和由CA签名的数字签名证书。如果客户端拥有此CA的公钥，它可以解密证书并与服务器建立信任。如果它不信任CA，则通信停止。在SSL中，客户端需要对服务器进行身份验证，在客户端接收到公钥和数字签名证书之后，客户端将通过其公钥和数字签名证书发送服务器。服务器将检查它是否拥有客户端证书的公钥，如果有，它可以与客户端建立信任。我正在一个weblogic服务器上设置双向ssl (在这种情况下是客户端)，调用出站到web服务，第三方给我发送了一个数字签名证书和一个证书链。为什么我需要这些。这不是服务器握手后回复的内容吗
浏览 0提问于2016-07-27得票数 0
我是WCF的新手，很难理解证书、身份验证和加密。
我有一个使用clientcredentialtype=“证书”的周转基金服务。
我已经使用makecert工具生成了CA证书、服务器和客户端证书。
该服务驻留在IIS中。
当我为我的站点使用SSl时，我得到了一个安全异常：
Could not establish trust relationship for the SSL/TLS secure channel with authority 'fqdn;.
System.Net.webException: The underlying connection was closed:
C
浏览 1提问于2015-06-03得票数 0
3回答
我使用的是Windows Server 2012和IIS 8.5。我已经为网站设置了SSL，SSL设置是:需要和需要客户端证书。
我发送到服务器的客户端证书是由一个自签名颁发机构(我们称之为MyCompany CA)颁发的。MyCompany CA证书已成功安装在本地计算机帐户-受信任的根证书颁发机构中。它的到期日期是2039，客户端证书的到期日期也是如此。
然而，在所有这些设置中，我得到了一个错误403.16。我已经启用了失败的请求跟踪规则，并设法记录了一个错误的请求，并获得了一些关于它的额外详细信息：
52.- MODULE_SET_RESPONSE_ERROR_STATUS -警告Mod
浏览 0提问于2014-12-02得票数 17
回答已采纳
在下面的用例中，我对SSL证书流的理解是否正确(CA/Self签名)。通常，当我们生成SSL证书时，它有以下内容：
详细信息，如所有者，域名，validity..etc。
Web服务器的公钥(用于非对称密钥对SSL握手)
由CA私钥或自行签名的数字签名，将是Web自己的私钥(希望此理解是正确的？(Q1))
首先，Web浏览器使用自己的公钥获得SSL证书。当CA提供程序证书存在时，证书验证：
浏览器将拥有can的所有公钥，因此可以验证数字签名。
之后，Web服务器提供的公钥用于对称密钥加密。
但是博客也提到浏览器已经信任了根证书，并且它是有效的。这是否意味着很
浏览 0提问于2018-11-15得票数 0
回答已采纳
扫码
添加站长 进交流群
领取专属 10元无门槛券
手把手带您无忧上云
相关资讯
热门标签
云服务器
ICP备案
实时音视频
即时通信 IM
对象存储活动推荐
腾讯云开发者
