vertrauenswürdige Zertifikateinträge sind nicht kennwortgeschützt Spring SAML

Question

Ich habe die Datei testIdp.cer erzeugt, indem ich den 509-Eintrag des IDP kopiert habe, den ich verbinden möchte. Dann habe ich JKS-Datei, indem Sie den folgenden Befehl ausführen

keytool -importcert -alias adfssigning -keystore C:\Users\user\Desktop\samlKeystore.jks -file C:\Users\user\Desktop\testIdp.cer 

Wenn er ausgeführt wird darum gebeten hat, ein Passwort einzugeben, für die ich ein Passwort gegeben haben. Für die Frage "Dieses Zertifikat vertrauen? [Nein]:" habe ich "y" als Eingabe angegeben. Nachricht kam als "Zertifikat wurde zu Keystore hinzugefügt".

Dann habe ich die folgenden Details in securityContext.xml

<bean id="keyManager" class="org.springframework.security.saml.key.JKSKeyManager"> 
    <constructor-arg value="classpath:security/samlKeystore.jks"/> 
    <constructor-arg type="java.lang.String" value="mypassword"/> 
    <constructor-arg> 
     <map> 
      <entry key="adfssigning" value="mypassword"/> 
     </map> 
    </constructor-arg> 
    <constructor-arg type="java.lang.String" value="adfssigning"/> 
</bean> 

<bean class="org.springframework.security.saml.metadata.ExtendedMetadata"> 
    <property name="alias" value="adfssigning" /> 
    <property name="signingKey" value="adfssigning"/>  
</bean> 

konfiguriert Aber wenn ich die Anwendung ausführen, bekomme ich die folgenden zwei Ausnahmen, wenn der Server startet, und wenn ich die Homepage der Anwendung laden. Kann mir jemand Bescheid geben, wenn mir noch etwas fehlt?

Diese Ausnahme auftreten wird, wenn ich den Server

Caused by: org.opensaml.saml2.metadata.provider.FilterException: Signature trust establishment failed for metadata entry 
at org.opensaml.saml2.metadata.provider.SignatureValidationFilter.verifySignature(SignatureValidationFilter.java:327) 
at org.opensaml.saml2.metadata.provider.SignatureValidationFilter.processEntityGroup(SignatureValidationFilter.java:240) 
at org.opensaml.saml2.metadata.provider.SignatureValidationFilter.doFilter(SignatureValidationFilter.java:158) 
at org.opensaml.saml2.metadata.provider.AbstractMetadataProvider.filterMetadata(AbstractMetadataProvider.java:493) 
at org.opensaml.saml2.metadata.provider.AbstractReloadingMetadataProvider.processNonExpiredMetadata(AbstractReloadingMetadataProvider.java:395) 

Diese Ausnahme auftreten beginnen, wenn ich die Homepage meiner Anwendung ausführen

java.lang.UnsupportedOperationException: trusted certificate entries are not password-protected 
at java.security.KeyStoreSpi.engineGetEntry(Unknown Source) 
at java.security.KeyStore.getEntry(Unknown Source) 
at org.opensaml.xml.security.credential.KeyStoreCredentialResolver.resolveFromSource(KeyStoreCredentialResolver.java:132) 

Answer 1

Ihr .cer Zertifikat nur einen öffentlichen Schlüssel enthält, mustn Sie definiere nicht <entry key="adfssigning" value="mypassword"/> für öffentliche Schlüssel; es kann nur für private genutzt werden. Nehmen Sie einfach den Eintrag adfssigning heraus und stellen Sie sicher, dass Sie stattdessen einen privaten Schlüssel einfügen - genau wie in der Spring SAML-Beispielanwendung.

Der SAML Keystore kann zwei grundlegende Arten von Schlüsseln enthalten - öffentliche und private Schlüssel (plus ihre Zertifikate). Jeder Schlüssel hat einen Alias, der verwendet wird, um darauf Bezug zu nehmen. Der Schlüsselspeicher selbst kann durch ein Kennwort geschützt werden (im zweiten Konstruktorparameter angegeben), und jeder private Schlüssel kann auch durch ein zusätzliches Kennwort geschützt werden (diese sind im dritten Parameter des Konstruktors in einer Zuordnung von alias-> password definiert). Die öffentlichen Schlüssel, die Sie in den Keystore importieren (genau wie bei dem obigen Befehl), dürfen in dieser Map nicht definiert werden. Sie werden nach dem Import ohne zusätzliche Deklarationen automatisch verfügbar sein. Damit Spring SAML funktioniert, muss der Schlüsselspeicher mindestens einen privaten Schlüssel enthalten (die Beispielanwendung enthält einen privaten Schlüssel mit Alias ​​apollo), und sein Alias ​​muss im dritten Parameter des Konstruktors angegeben werden.

Ihr Beispiel oben schlägt fehl, weil Sie einen öffentlichen Schlüssel importiert, aber in die Karte aufgenommen haben, die nur für private Schlüssel verwendet werden kann.

Answer 2

Vladimir hat die Frage richtig beantwortet, warum der Fehler auftritt. In meiner Antwort möchte ich zeigen, wie Sie ein Zertifikat zum Schlüsselspeicher, dieses Problem importieren zu lösen:

Sie haben das Zertifikat und privaten Schlüssel zu importieren, die konnte nicht direkt von keytool getan.

Die detaillierte beschriebene Lösung finden Sie hier: https://stackoverflow.com/a/8224863/1909531

Hier ein Auszug:

openssl pkcs12 -export -in server.crt -inkey server.key \ 
      -out server.p12 -name [some-alias] \ 
      -CAfile ca.crt -caname root 

keytool -importkeystore \ 
    -deststorepass [changeit] -destkeypass [changeit] -destkeystore server.keystore \ 
    -srckeystore server.p12 -srcstoretype PKCS12 -srcstorepass some-password \ 
    -alias [some-alias]