Компания GoDaddy SSL-сертификат не работает с Java

ответы Мистера фиксера и Уэйна Тайера были опущены, но они на самом деле выступают за правильные обходные пути. На самом деле, Уэйн Тайер возглавляет SSL-бизнес GoDaddy, поэтому он, вероятно, знает. Вы должны установить сертификат "GoDaddy G1 to G2 Cross" в цепочке сертификатов вместе с промежуточным сертификатом.

понижение до SHA1 не является идеальным вариантом, так как он устарел и заставит вас больше работать в будущем. К счастью, GoDaddy предоставил сертификат кроссовера, который решает эту проблему. Они опубликовали инструкции, которые Уэйн продублировал, и они похоронены в комментариях здесь.

Я лично протестировал это решение с сертификатом SHA2, и он хорошо работает. Это гораздо лучшее решение по сравнению с повторным вводом и понижением до SHA1. Когда SHA2 станет обязательным, эта опция все равно не будет доступна, и там все еще могут быть Java toolchains без нового сертификата.

по данным Поддержка GoDaddy, по состоянию на июль 2014 года, правильный корневой сертификат был включен в последние версии Java 8, а в сентябре 2014 года, Уэйн Тайер из GoDaddy сказали что сертификат "планируется добавить в Java в ближайшие несколько месяцев". Я проверил файл cacerts в Java 8 для Mac OS скачать здесь, и он действительно содержит корневой сертификат SHA2.

Так что вместо вашей цепи выглядит так:

• Go Daddy Root Certificate Authority-G2: (SHA-2) – Hash 47 BE AB C9 22 EA E8 0e 78 78 34 62 A7 9F 45 C2 54 FD E6 8B. это корневой сертификат, встроенный в некоторые системы (например, Chrome). SnakeDoc утверждает, что"он не встроен в Java, Windows CE, Microsoft Exchange и другие платформы".
• Go Daddy Secure Certificate Authority-G2: (SHA-2) – Hash 27 AC 93 69 FA F2 52 07 BB 26 27 CE FA CC BE 4E F9 C3 19 B8
• Ваш сертификат SHA2

Это должно выглядеть так:

• Go Daddy Class 2 Certification Authority: (SHA – 1) - Hash 27 96 BA E6 3F 18 01 E2 77 26 1B A0 D7 77 70 02 8F 20 EE E4. Это старый корневой сертификат, встроенный в большинство систем, включая java.
• Go Daddy Root Certificate Authority-G2: (SHA-2) – Hash 34 0B 28 80 F4 46 FC C0 4E 59 ED 33 F5 2B 3D 08 D6 24 29 64. Это так называемый"крестовый сертификат GoDaddy G1 to G2".
• Go Папа Безопасный Сертификат Authority-G2: (SHA-2) - Hash 27 AC 93 69 FA F2 52 07 BB 26 27 CE FA CC BE 4E F9 C3 19 B8
• Ваш сертификат SHA-2

см. также-мой пост в блоге, обобщающий эту проблему с обходными путями.

чтобы получить сертификаты Godaddy для работы на Java с SHA2, вам нужно будет использовать их перекрестный сертификат в вашей цепочке, чтобы связать корень G2(SHA2) с корнем G1(SHA1), пока Java не решит обновить свой репозиторий. Пакет перекрестных сертификатов можно скачать здесь:

https://certs.godaddy.com/anonymous/repository.pki

GoDaddy Certificate Bundles-G2 с крестом на G1, включает в себя Root

[gd_bundle-g2-g1.crt][1] 

г-н Fixer-это правильно. Установите сертификат "GoDaddy G1 to G2 Cross" в файле пакета сертификатов вместе с промежуточным сертификатом. Это позволяет сертификатам GoDaddy SHA-2 доверять любому клиенту, который распознает корни SHA-1, включая Java. Вы можете получить этот файл отhttps://certs.godaddy.com/repository Как только это будет установлено, Java построит цепочку сертификатов от вашего сертификата до " GoDaddy Secure Server Certificate (промежуточный сертификат)" к "крестовому сертификату GoDaddy G1 to G2" к корню GoDaddy SHA-1. Вы также можете найти файл пакета, содержащий перекрестный сертификат в нашем репозитории. Последнее замечание по этому параметру: подписи на корневых сертификатах не проверяются, поэтому, даже если вы полагаетесь на корень SHA-1, это так же безопасно, как и полная цепочка сертификатов SHA-2.

следующие комментарии и вывод openssl s_client -connect the.server.name:587 -starttls smtp.

в цепочке сертификатов сертификат n должен быть выдан сертификатом n+1 в списке: эмитент (i) сертификата n должен быть субъектом (АМИ) сертификата n+1.

 0 s:/OU=Domain Control Validated/CN=smtp.somecompany.com
   i:/C=US/ST=Arizona/L=Scottsdale/O=GoDaddy.com, Inc./OU=http://certs.godaddy.com/repository//CN=Go Daddy Secure Certificate Authority - G2
 1 s:/C=US/ST=Arizona/L=Scottsdale/O=GoDaddy.com, Inc./OU=http://certs.godaddy.com/repository//CN=Go Daddy Secure Certificate Authority - G2
   i:/C=US/ST=Arizona/L=Scottsdale/O=GoDaddy.com, Inc./CN=Go Daddy Root Certificate Authority - G2
 2 s:/C=US/ST=Arizona/L=Scottsdale/O=GoDaddy.com, Inc./CN=Go Daddy Root Certificate Authority - G2
   i:/C=US/ST=Arizona/L=Scottsdale/O=GoDaddy.com, Inc./CN=Go Daddy Root Certificate Authority - G2
 3 s:/C=US/ST=Arizona/L=Scottsdale/O=GoDaddy.com, Inc./OU=http://certs.godaddy.com/repository//CN=Go Daddy Secure Certificate Authority - G2
   i:/C=US/ST=Arizona/L=Scottsdale/O=GoDaddy.com, Inc./CN=Go Daddy Root Certificate Authority - G2

здесь, верняк 0 выдаваемого сертификата 1 (отлично), выдается сертификат 1 сертификат 2 (штраф), 2 сертификат является самоподписанным (тоже все в порядке, это корневой центр сертификации).

однако сертификат 2 не выдается сертификатом 3. Сертификат 3 неуместен (и, вероятно, такой же, как сертификат 1). Это вполне вероятно чтобы вызвать проблемы, так как это делает цепочку недействительной.

вы должны по крайней мере удалить сертификат 3 от конфигурации. Кроме того, вы также можете удалить cert 2, поскольку наличие корневого CAs не обязательно (в любом случае это зависит от клиента).

похоже, что ваш почтовый сервер не подписан Go Daddy Class 2 Certification Authority, но фактически подписывается одним из их промежуточных центров сертификации. Вам нужно будет проверить это для себя. Предполагая, что это так...

теоретически ваше программное обеспечение должно работать - поскольку промежуточный сертификат подписан центром сертификации класса 2, и у вас есть центр сертификации класса 2 в хранилище сертификатов JDK по умолчанию. Однако, я обнаружил, что он просто не работает, если вы также добавить промежуточный сертификат в хранилище сертификатов. Вот ссылка на сообщение в блоге, описывающее подобный опыт:

http://drcs.ca/blog/adding-godaddy-intermediate-certificates-to-java-jdk/

вот прямая ссылка на более GoDaddy промежуточные сертификаты: https://certs.godaddy.com/anonymous/repository.pki

Я не могу точно сказать, какой сертификат вы должны добавить - это зависит от того, какой CA используется в вашей почте сервер.

[обновление]

is there a way to do this programmically?

может быть. Зависит от того, что вы хотите сделать. Я использовал java.security.KeyStore класс для автоматического обновления частного хранилища ключей непосредственно из кода Java без использования keytool. Это концептуально просто-загрузите хранилище ключей из файла, прочитайте новый сертификат, добавьте его в хранилище ключей, а затем выпишите хранилище ключей в новый файл. Однако это займет некоторое время, чтобы получить детали правильно и оно не может быть стоит просто импортировать один сертификат.

тем не менее, интересно попробовать. Оформить заказ Хранилище Документации и по load,store и setCertificateEntry методы.

В " Панели Управления Java "я только что добавил корневой сертификат GD в" безопасный сайт CA", и у меня больше нет ошибки сертификата при использовании Java. Сертификат, который я добавил, был: Go Daddy Class 2 Certification Authority Root Certificate-G2

Если вы импортируете пакет de GoDady G2 в хранилище ключей java, это решает проблему:

export JAVA_HOME=/usr/lib/jvm/java-8-oracle/
wget https://certs.godaddy.com/repository/gd_bundle-g2.crt
$JAVA_HOME/bin/keytool -import -alias root -file ./gd_bundle-g2.crt -storepass changeit -trustcacerts -keystore $JAVA_HOME/jre/lib/security/cacerts

Update - this "solution" is no longer valid (see my above accepted answer) - keeping this answer because it did help alleviate the problem so long as the side-effects are tolerable.

Ок, я нашел обходной путь для моего случая.

props.put("mail.smtp.ssl.trust", "smtp.somecompany.com");

я добавил Это к моей конструкции сессии, и теперь он работает. Это обходной путь, а не исправление imho, так как я до сих пор не знаю, почему мой сертификат SSL Godaddy не является доверенным по умолчанию... это не самозаверяющий сертификат.

кто-нибудь, пожалуйста, не стесняйтесь перезвонить, как я действительно хотел бы понять эту проблему.

Если вы используете ниже свойства при отправке почты, а затем прокомментировать его. Это работает для меня. Но это может вызвать проблемы с безопасностью.

props.put("mail.smtp.starttls.enable","true");