В Java, как я могу подключиться к HTTPS сайтов, не заботясь о сертификатах безопасности

Question

При попытке подключиться к веб-сайта по протоколу HTTPS, как следующим образом:

StringBuilder sb = new StringBuilder(); 
     URL oracle = new URL("https://company.com"); 
     URLConnection yc = oracle.openConnection(); 
     BufferedReader in = new BufferedReader(new InputStreamReader(yc.getInputStream())); 
     String inputLine; 
     while ((inputLine = in.readLine()) != null) 
      sb.append(inputLine); 
     in.close(); 
     return sb.toString(); 

Я получаю

sun.security.validator.ValidatorException: PKIX path building failed: sun.security.provider.certpath.SunCertPathBuilderException: unable to find valid certification path to requested target 
    at sun.security.validator.PKIXValidator.doBuild(PKIXValidator.java:387) 
    at sun.security.validator.PKIXValidator.engineValidate(PKIXValidator.java:292) 
    at sun.security.validator.Validator.validate(Validator.java:260) 
    at sun.security.ssl.X509TrustManagerImpl.validate(X509TrustManagerImpl.java:324) 
    at sun.security.ssl.X509TrustManagerImpl.checkTrusted(X509TrustManagerImpl.java:229) 
    at sun.security.ssl.X509TrustManagerImpl.checkServerTrusted(X509TrustManagerImpl.java:124) 
    at sun.security.ssl.ClientHandshaker.serverCertificate(ClientHandshaker.java:1491) 

Если я использую http://company.com вместо он работает, но я хочу использовать https one, потому что это то, что они говорят, чтобы использовать, и я думаю, что небезопасный может быть удален.

Однако, когда я просмотрел похожие ответы об этом, он говорит о копировании сертификатов из моего браузера ectera. Мне нужно решение, которое будет работать для всех, кто запускает код на любом компьютере, не делая ничего особенного.

Я не беспокоюсь о преимуществах безопасности SSL для этого проекта. Я просто хочу иметь возможность подключиться к wenbsite.

Answer 1

Кажется, вас уже предупредили против подхода, поэтому я буду отвечать на ваш вопрос. Я смог воспроизвести проблему на своей машине, хотя я не могу сказать почему: Мой браузер принимает сертификат сайта без заминки.

Я попытался расширить свой код, чтобы он работал, но вскоре обнаружил, что я возился с SSLContext, различными крипто-провайдерами и интерфейсами поставщика услуг. Мне не удалось выполнить этот подход и на самом деле не рекомендую идти таким путем, так как он изменяет глобальные параметры безопасности вашей JVM и может иметь непредсказуемые последствия в зависимости от того, что еще он делает.

Вместо этого я предлагаю вам взглянуть на Apache HttpComponents library, что позволяет более точно контролировать параметры безопасности соединения.

Ниже будет отключить все проверки сертификата для созданного HttpClient экземпляра:

TrustStrategy veryNaive = new TrustStrategy() { 
    @Override 
    public boolean isTrusted(X509Certificate[] chain, String authType) throws CertificateException { 
     return true; 
    } 
}; 

SSLContext sslcontext = SSLContexts.custom() 
    .loadTrustMaterial(veryNaive) 
    .build(); 

CloseableHttpClient httpclient = HttpClients.custom() 
    .setSSLSocketFactory(new SSLConnectionSocketFactory(sslcontext)) 
    .build(); 

try { 
    HttpGet httpget = new HttpGet("https://company.com"); 

    try (CloseableHttpResponse response = httpclient.execute(httpget);) { 
     HttpEntity entity = response.getEntity(); 
     System.out.println(EntityUtils.toString(entity)); 
     EntityUtils.consume(entity); 
    } 
} finally { 
    httpclient.close(); 
} 

Изменение SSLContext к SSLContexts.createSystemDefault(); повторно вводит проблему, просто чтобы показать, что это также присутствует в библиотеке Apache.