SSL XML Gateway - ошибка подтверждения SSL-сертификата

Question

Я работаю над веб-сайтом, который предоставляет шлюз xml, который клиенты могут отправить xml-запрос и получить ответ xml в ответ. Веб-сайт/компания была приобретена крупной организацией и перенесена в их инфраструктуру. Существующий производственный объект использует сертификат ssl определенным центром сертификации, но большая организация использует сертификаты, выданные другим центром сертификации. Мы попробовали запустить тест с одним из своих клиентов, и они получают ошибку установления связи SSL. Оригинальный разработчик говорит, что единственный способ заставить его работать - восстановить исходный сертификат SSL, а не использовать новые. Я ищу руководство или руководство для диагностики этой проблемы, поэтому любая помощь будет оценена по достоинству.

Answer 1

Что говорит разработчик, из описания мне разумно, но проблема в том, что это их.

Чтобы убедиться, что это именно то, что происходит, вы можете сделать захват wirehark, а затем декодировать поток как SSL. Если проблема заключается в том, что клиент не доверяет отправке сертификата сервером и отклоняет соединение, вы увидите его в рукопожатии в wirehark.

Если вы используете java-клиент, вы можете запустить его с помощью -Djavax.net.debug=ssl, чтобы просмотреть сообщения ssl из java.

Если это действительно проблема, вы должны сконфигурировать доверенное хранилище клиента для отправки сертификата сервером (который является исходным).

Если такая конфигурация возможна, конечно ... Это зависит от применения

UPDATE:

Ну, если вы мигрировали к новому CA, то есть развернуть новый сертификат в интерфейсе, то, к сожалению, это «ваш» - ошибка серверной ошибки.
IMHO, если это возможно, вы должны повторно развернуть старый сертификат на определенный период, сообщая всем заинтересованным сторонам, что вы планируете перейти на новый сертификат, подписанный новым CA, чтобы клиенты не нарушали

В это же время их ответственность заключается в том, чтобы «исправить» свои клиентские приложения, чтобы иметь возможность принять новый сертификат. Это может быть так же просто, как конфигурация, т.е. импорт сертификата в доверительный магазин, как «сложный», чтобы изменить код и перестроить клиентское приложение (например, если новый выпущенный сертификат не имеет расширений, которые проверяет код или CN изменился и т.д).

Если это не представляется возможным перераспределить старый сертификат, то вы просто должны сообщить изменения всех заинтересованных сторон, а затем, они должны «исправить» его соответствующим образом (как упоминалось выше)