从头解决PKIX path building failed

栏目: IT技术 · 发布时间: 4年前

内容简介:本篇涉及到PKIX path building failed的原因和解决办法(包括暂时解决和长效解决的方法),也包括HTTP和HTTPS的区别。通俗的讲,PKIX path building failed 出现的原因是因为自己的Java环境没有相关网站的证书而导致的。PKIX的全称为Public-Key Infrastructure (X.509),通过wiki百科我们可以知道X.509是一种证书的标准,这种标准用在很多网络协议,比如TLS/SSL。而TLS/SSL是HTTPS协议的标准(HTTPS比HTT

从头解决PKIX path building failed的问题

本篇涉及到PKIX path building failed的原因和解决办法(包括暂时解决和长效解决的方法),也包括HTTP和HTTPS的区别。

PKIX path building failed 通俗讲解。

通俗的讲,PKIX path building failed 出现的原因是因为自己的 Java 环境没有相关网站的证书而导致的。

PKIX path building failed 具体内容。

PKIX的全称为Public-Key Infrastructure (X.509),通过wiki百科我们可以知道X.509是一种证书的标准,这种标准用在很多网络协议,比如TLS/SSL。而TLS/SSL是HTTPS协议的标准(HTTPS比HTTP多的部分就在于TLS/SSL),所以本文章我们掌握TLS/SSL的知识。

TLS/SSL协议详解

接下是TLS和SSL的的关系以及其详解

TLS和SSL的关系

  • SSL 又称Secure Sockets Layers,而TLS又称Transport Layer Security。
  • TLS位于传输层上,而SSL位于传输层和应用层之间。
  • SSL 总共有3版 分别是 1995年的SSL v1.0, 1995年的SSL v2.0, 1996年的SSL v3.0。
  • TLS 目前有四版分别是 1999年的TLS v1.0, 2006年的TLS v1.1, 2008年的TLS v1.2, 2018年的TLS v1.3。
  • SSL 是 TLS 的前身,并且目前已经不推荐使用, TLS v1.0 修正了SSL v3.0中的安全缺陷,但是由于TLS v1.0是可以降级到SSL v3.0所以依旧存在不安全的情况(当你访问使用较低版本的TLS协议或者任意版本的SSL协议时,你的浏览器会提示你,这个时候如果想规避风险,建议就不要继续了。)

    TSL 握手机制。

  • TSL handshake
  1. Client 发送 clientHello 到Sever,内容包括
    • 支持的TSL最高版本号
    • cipher suite(一堆支持的加密算法)
    • 客户端随机数
  2. Server 返回ServerHello 到Client,内容包括
    • Server决定的TSL版本号
    • 服务器随机数
    • 选择的cipher suite
  3. Server发送他的certificate message(这里包含了server的public-key)到Client,这里使用证书可以保证public-key是正确的,因为certificate受到可信部门认证。
  4. Server发送ServerHelloDone信息到Client,告诉Client他的handshake已结束
  5. Client 发送ClientKeyExchange message 到 Server。包含:
    • PremasterSecret(这个里面包含的是sharekey,用server的public加密)。

      除此之外,Client使用服务端随机数,客户端随机数,PremasterSecret形成share key

  6. Server使用自己的private key 解密 ClientKeyExchange message,并使用服务端随机数,客户端随机数,PremasterSecret形成share key。
  7. client 发送ChangeCipherSpec到Server,目的是告诉Server可以开始使用以上协商的share key了。包含
    • Finished massage:这个是之前握手信息的hash或者MAC(message authentication code (MAC) algorithm)算法的值
  8. Server 收到ChangeCipherSpec,后计算自己本地的内容,检查收到的hash/mac是否和自己的一致,不一致,这次握手将失败,一致发送ChangeCipherSpec到client,目的是告诉Client开始使用协商的share key。

    cipher suite 详解

    cipher suite 是为了保证连接过程的安全性,其中包括很4种算法原语的组合。客户端和服务器handshake时,由服务器确定使用的算法,之后由服务器和客户端一起使用这样的算法。

  • 四种算法原语(对于一个cipher suite,只能有一个Kx,一个Au一个Enc,一个MAC,但是这些算法可以选择不同的)
    • Key Exchange(Kx),常见DH 和 ECDH,(类似TLS握手机制)
    • Authentication (Au),常见DSA/RSA/ECDSA(证书,比如server发送回来的public key 就是放在sever的证书里的,client可以检查这个证书是否有效)
    • Encryption(Enc),主要AES(加密算法,和密码学有关,我们此处不谈)
    • Message Authentication Code(MAC),常见SHA1、SAH256、SHA384(对于message,对整体求hash/md等作为单独的tag,即作为客户端检查message完整性和未被篡改的凭证)

解决办法1(不建议)

之前说过HTTPS的网站才有TLS/SSL而PKIX在TLS/SSL中使用,所以我们可以利用这种方法,把所有想要访问的网站的 https://···· 换为 http://····

解决方法2(程序内部自动过滤ssl,推荐)

然而有的时候,比如小程序去获取user的openid和session-key时,需要访问https://api.weixin.qq.com/sns/jscode2session,此时因为微信官方的api限制了必须使用https,所以去掉s则会报错。此时我们采用在本地网络连接时忽略SSL。

我认为,在开发软件时,很多主机如果没有ssl认证,执行需要的网络连接就会失败,所以需要过滤ssl。

可以使用如下的 工具

从头解决PKIX path building failed

如需复制代码请转到 httpclient 实现https请求

解决办法3(解决maven等出现pkix的问题)

从头解决PKIX path building failed

如图位置加入 -Dmaven.wagon.http.ssl.insecure=true -Dmaven.wagon.http.ssl.allowall=true

解决方法4 (导入证书)

之前很多博主使用的都不是最新的语法,建议在导入时使用keytool -help看一下最新的导入语法。

cmd在管理员模式进入java jdk 下的jre\lib\security目录。

我的是 C:\Program Files\Java\jdk1.8.0_221\jre\lib\security

获取证书的方法可以参考其他博主,比较简单。

使用如下语言导入证书

keytool -importcert -noprompt -trustcacerts -alias xxx(你想要导入的别名) -file "C:\Program Files\Java\jdk1.8.0_221\jre\lib\security\xxx.cer(你的文件的地址)" -keystore "C:\Program Files\Java\jdk1.8.0_221\jre\lib\security\cacerts" -storepass changeit


以上就是本文的全部内容,希望对大家的学习有所帮助,也希望大家多多支持 码农网

查看所有标签

猜你喜欢:

本站部分资源来源于网络,本站转载出于传递更多信息之目的,版权归原作者或者来源机构所有,如转载稿涉及版权问题,请联系我们

新零售新市场

新零售新市场

吴宇 / 人民邮电 / 2017-8

本书全面而实操地解析汽车后市场,帮助诸多正在或将要转型的企业科学转型,在竞争激烈的市场中赢得一席之地,真正实现“互联网+”的飞跃与升级。本书适合汽车后市场相关领域从业者、汽车后市场创业者,以及对汽车后市场有兴趣的读者阅读。一起来看看 《新零售新市场》 这本书的介绍吧!

JS 压缩/解压工具
JS 压缩/解压工具

在线压缩/解压 JS 代码

MD5 加密
MD5 加密

MD5 加密工具

RGB CMYK 转换工具
RGB CMYK 转换工具

RGB CMYK 互转工具