Аутентификация общей карты доступа (CAC) с использованием Java

Вы создаете веб-приложение или пытаетесь написать программное обеспечение, которое запускается на клиенте (что-то вроде вашего собственного веб-браузера)?

Если вы создаете веб-приложение, это в значительной степени просто стандартная аутентификация клиента. Тот факт, что сертификат исходит от аппаратного маркера, не сильно меняет сервер; если вы хотите принимать только сертификаты CAC, вы можете указать набор допустимых политик сертификатов, когда сервер проверяет сертификат клиента. (Проверка политик является стандартной частью проверки PKIX.) Если это приложение предназначено для государственного заказчика, вам необходимо тесно сотрудничать с их группой безопасности, чтобы убедиться, что ваше решение соответствует их требованиям, которые могут быть строгими. Если это ваш сценарий, дайте мне знать, и я обновлю свой ответ некоторыми проблемами, с которыми мы столкнулись.

Если вы пишете клиент и вам нужен доступ к физическому считывателю, вы можете использовать поставщик Sun PKCS #11, начиная с Java 1.5. Я экспериментировал с этим провайдером, и вы можете больше узнать о нем в другой ответ.

На сервере следует проверить, не отозван ли сертификат. Однако некоторые из этих списков отзыва сертификатов огромныу нас были файлы CRL размером более 100 МБ, а встроенное средство проверки отзыва Sun плохо масштабируется до такого размера.

Вам также необходимо убедиться, что у вас есть правильные корневые сертификаты ЦС в хранилище ключей "доверия" Tomcat (государственные корневые сертификаты ЦС найти немного сложнее, поскольку они хотят убедиться, что пользователи проверяют их должным образом). Мы также обнаружили, что Firefox не отправляет всю цепочку сертификатов, если только пользователи не импортируют промежуточные сертификаты в свой браузер вручную.

Вам нужно создать файл с именем card.config и включить в него следующие строки:

name = myConfig
library = /path/to/library/that/implements/cac/card/reader 

А затем попробуйте следующее:

import java.io.*;
import java.util.*;

import java.security.cert.CertificateException;
import java.security.KeyStoreException;
import java.security.cert.X509Certificate;

import java.security.KeyStore;
import java.security.Provider;
import java.security.SecureRandom;
import java.security.Security;

import javax.net.ssl.KeyManagerFactory;
import javax.net.ssl.SSLContext;
import javax.net.ssl.SSLSocketFactory;
import javax.net.ssl.TrustManagerFactory;

public class Test  
{
   public static void  main(String arg[]) throws Exception
   {
       try
       {   
         //Create our certificates from our CAC Card
         String configName = "card.config";
         Provider p = new sun.security.pkcs11.SunPKCS11(configName);
         Security.addProvider(p);

         //Get the pin from user entered data
         Console c = System.console();
         char[] pin = c.readPassword("Enter your PIN: ");
         KeyStore cac = null;

         cac = KeyStore.getInstance("PKCS11");
         cac.load(null, pin);

         showInfoAboutCAC(cac);

      }
      catch(Exception ex)
      {
         //System.out.println("*" + ex.getMessage());
         ex.printStackTrace();
         System.exit(0);
      }
   }

   public static void showInfoAboutCAC(KeyStore ks) throws KeyStoreException, CertificateException
   {
      Enumeration<String> aliases = ks.aliases();

      while (aliases.hasMoreElements()) 
      {
         String alias = aliases.nextElement();
         X509Certificate[] cchain = (X509Certificate[]) ks.getCertificateChain(alias);

         System.out.println("Certificate Chain for : " + alias);
         for (int i = 0; i < cchain.length; i ++)
         {
            System.out.println(i + " SubjectDN: " + cchain[i].getSubjectDN());
            System.out.println(i + " IssuerDN:  " + cchain[i].getIssuerDN());
         }
      }
   }
}

На данный момент у вас есть хранилище ключей, которое вы можете использовать для создания сокета ssl для связи с веб-сервером https.

Изучите возможность использования аутентификации с помощью сертификата с помощью приложения типа SSO, такого как OpenSSO или JOSSO. Агент должен быть проще для встраивания, и они уже реализовали большинство деталей. Если вам нужно сделать это самостоятельно, у них также есть много документации, связанной с необходимыми шагами, например: настройка цифровых сертификатов