Как мне инициализировать TrustManagerFactory с несколькими источниками доверия?

В trustMgrFactory.init(keystore); вы настраиваете defaultTrustManager с вашим личным хранилищем ключей, а не с системным хранилищем ключей по умолчанию.

На основании чтения исходного кода sun.security.ssl.TrustManagerFactoryImpl, похоже, trustMgrFactory.init((KeyStore) null); сделает именно то, что вам нужно (загрузит системное хранилище ключей по умолчанию), и, судя по быстрому тестированию, мне кажется, что это сработало.

Ответ здесь заключается в том, как я понял, как это сделать. Если вы просто хотите принять системные сертификаты CA плюс настраиваемое хранилище сертификатов, я упростил его до одного класса с некоторыми удобными методами. Полный код доступен здесь:

https://gist.github.com/HughJeffner/6eac419b18c6001aeadb

KeyStore keystore; // Get your own keystore here
SSLContext sslContext = SSLContext.getInstance("TLS");
TrustManager[] tm = CompositeX509TrustManager.getTrustManagers(keystore);
sslContext.init(null, tm, null);

Я столкнулся с той же проблемой с Commons HttpClient. Рабочим решением для моего случая было создание цепочки делегирования для PKIX TrustManager следующим образом:

public class TrustManagerDelegate implements X509TrustManager {
    private final X509TrustManager mainTrustManager;
    private final X509TrustManager trustManager;
    private final TrustStrategy trustStrategy;

    public TrustManagerDelegate(X509TrustManager mainTrustManager, X509TrustManager trustManager, TrustStrategy trustStrategy) {
        this.mainTrustManager = mainTrustManager;
        this.trustManager = trustManager;
        this.trustStrategy = trustStrategy;
    }

    @Override
    public void checkClientTrusted(
            final X509Certificate[] chain, final String authType) throws CertificateException {
        this.trustManager.checkClientTrusted(chain, authType);
    }

    @Override
    public void checkServerTrusted(
            final X509Certificate[] chain, final String authType) throws CertificateException {
        if (!this.trustStrategy.isTrusted(chain, authType)) {
            try {
                mainTrustManager.checkServerTrusted(chain, authType);
            } catch (CertificateException ex) {
                this.trustManager.checkServerTrusted(chain, authType);
            }
        }
    }

    @Override
    public X509Certificate[] getAcceptedIssuers() {
        return this.trustManager.getAcceptedIssuers();
    }

}

И инициализируйте HttpClient следующим образом (да, это некрасиво):

final SSLContext sslContext;
try {
    sslContext = SSLContext.getInstance("TLS");
    final TrustManagerFactory javaDefaultTrustManager = TrustManagerFactory.getInstance(TrustManagerFactory.getDefaultAlgorithm());
    javaDefaultTrustManager.init((KeyStore)null);
    final TrustManagerFactory customCaTrustManager = TrustManagerFactory.getInstance(TrustManagerFactory.getDefaultAlgorithm());
    customCaTrustManager.init(getKeyStore());

    sslContext.init(
        null,
        new TrustManager[]{
            new TrustManagerDelegate(
                    (X509TrustManager)customCaTrustManager.getTrustManagers()[0],
                    (X509TrustManager)javaDefaultTrustManager.getTrustManagers()[0],
                    new TrustSelfSignedStrategy()
            )
        },
        secureRandom
    );

} catch (final NoSuchAlgorithmException ex) {
    throw new SSLInitializationException(ex.getMessage(), ex);
} catch (final KeyManagementException ex) {
    throw new SSLInitializationException(ex.getMessage(), ex);
}

SSLConnectionSocketFactory sslSocketFactory = new SSLConnectionSocketFactory(sslContext);

PoolingHttpClientConnectionManager cm = new PoolingHttpClientConnectionManager(
        RegistryBuilder.<ConnectionSocketFactory>create()
                .register("http", PlainConnectionSocketFactory.getSocketFactory())
                .register("https", sslSocketFactory)
                .build()
);
//maximum parallel requests is 500
cm.setMaxTotal(500);
cm.setDefaultMaxPerRoute(500);

CredentialsProvider cp = new BasicCredentialsProvider();
cp.setCredentials(
        new AuthScope(apiSettings.getIdcApiUrl(), 443),
        new UsernamePasswordCredentials(apiSettings.getAgencyId(), apiSettings.getAgencyPassword())
);

client = HttpClients.custom()
                    .setConnectionManager(cm)
                    .build();

В вашем случае с простым HttpsURLConnection вы можете обойтись упрощенной версией делегирования класса:

public class TrustManagerDelegate implements X509TrustManager {
    private final X509TrustManager mainTrustManager;
    private final X509TrustManager trustManager;

    public TrustManagerDelegate(X509TrustManager mainTrustManager, X509TrustManager trustManager) {
        this.mainTrustManager = mainTrustManager;
        this.trustManager = trustManager;
    }

    @Override
    public void checkClientTrusted(
            final X509Certificate[] chain, final String authType) throws CertificateException {
        this.trustManager.checkClientTrusted(chain, authType);
    }

    @Override
    public void checkServerTrusted(
            final X509Certificate[] chain, final String authType) throws CertificateException {
        try {
            mainTrustManager.checkServerTrusted(chain, authType);
        } catch (CertificateException ex) {
            this.trustManager.checkServerTrusted(chain, authType);
        }
    }

    @Override
    public X509Certificate[] getAcceptedIssuers() {
        return this.trustManager.getAcceptedIssuers();
    }

}

Для разработчиков Android это может быть намного проще. Таким образом, вы можете добавить XML-файл res для настройки своих пользовательских сертификатов.

Шаг 1: откройте свой XML-манифест и добавьте атрибут.

<manifest ... >
    <application android:networkSecurityConfig="@xml/network_security_config"
                    ... >
        ...
    </application>
</manifest>

Шаг 2: Добавьте network_security_config.xml в res / xml, настройте сертификаты по своему усмотрению.

<?xml version="1.0" encoding="utf-8"?>
<network-security-config>
    <base-config>
        <trust-anchors>
            <certificates src="@raw/extracas"/>
            <certificates src="system"/>
        </trust-anchors>
    </base-config>
</network-security-config>

Примечание: этот xml может поддерживать многие другие варианты использования, и это решение работает только на api24 +.

Официальная ссылка: здесь

Хотя этому вопросу 6 лет, я хочу поделиться своим решением этой проблемы. Он использует тот же фрагмент кода под обложками от Коди А. Рэя которым также поделился Хью Джеффнер.

SSLFactory sslFactory = SSLFactory.builder()
    .withDefaultTrustMaterial() // --> uses the JDK trusted certificates
    .withTrustMaterial("/path/to/mykeystore.jks", "password".toCharArray())
    .build();

HttpsURLConnection.setDefaultSSLSocketFactory(sslFactory.getSslSocketFactory());

Во время процесса подтверждения ssl он сначала проверит, присутствует ли сертификат сервера в доверенных сертификатах jdk, если нет, он продолжит, также проверив ваше собственное хранилище ключей, и если он не найдет совпадения, он потерпит неудачу. Вы даже можете связать его с дополнительными пользовательскими хранилищами ключей, или файлами pem, или списком сертификатов и т. Д. Другие конфигурации см. Здесь: другие возможные конфигурации

Эта библиотека поддерживается мной, и вы можете найти ее здесь: https://github.com/Hakky54/sslcontext-kickstart