Regénération d'un keystore pour connexion HTTPS

Version imprimable

13/01/2010, 17h03
Ernesto_X

Regénération d'un keystore pour connexion HTTPS

Bonjour,

Je viens de reprendre la maintenance d'une application cliente qui réalise la connexion avec un serveur par HTTPS. Je précise que je suis un newbie concernant les certificats :mrgreen:

Je dispose d'un fichier .jks qui est apparement le keystore.

Or voila, j'obtiens à chaque fois l'erreur suivante :
"javax.net.ssl.SSLHandshakeException: java.security.cert.CertificateException: La chaîne ne contient pas de certificat racine accepté"

Est-ce que cela veut dire que les clés du .jks ne sont pas bonnes ? ou périmées ???

Merci à ceux ou celles qui me lancerons sur la bonne piste, vous m'oteriez une sacrée épine du pied.
14/01/2010, 17h13
Marco46

Ca veut dire que vraisemblablement le certificat racine n'est plus bon ou périmé et que donc du coup il n'est pas possible de vérifier le certificat contenant la clef publique.

Si ce que tu viens de lire s'apparente à du chinois il te faut lire des tutoriaux sur X.509 et les PKI.
15/01/2010, 11h15
Ernesto_X

Merci pour ta réponse !

J'ai lu les docs concernant X.509 et les PKI. Mais mon problème maintenant est de savoir comment récupérer le bon certificat racine ...

On m'a dit d'utiliser keytool de java, mais je vois pas comment cet outil peut régénérer mon keystore existant avec le bon certificat racine !

;)

Merci à vous !
15/01/2010, 14h07
Marco46

Ben le certificat racine dépend de l'organisation qui a émis le certificat du site. C'est marqué sur le certificat en question. Enfin tu as l'adresse LDAP de l'entité qui a signé le certificat de ton site web dans le certificat normalement. Il peut y avoir des certificats intermédiaires signés eux-mêmes par une entité supérieure jusqu'à arriver jusqu'à un certificat racine auto-signé et pour lequel tu dis avoir confiance.

Keytool te permet de manipuler des certificats, mais il faudra aller chercher manuellement la chaine de certification je pense.

Pour l'organisation gérant la chaine de certificat, ça peut être une entreprise comme Verisign ou Thawte comme ça peut être directement l'entreprise gérant le site web qui a implémenté une PKI personnalisée. Ça dépends quoi ...