tomcat - tomcatは、証明書の拡張キーの使用を尊重しないように構成します

Question

SSL証明書の目的（サーバー、クライアント）を定義する拡張キーの使用についてTomcatチェックを無効にすることは可能ですか？

私の証明書では、拡張キーの使用法（目的）がSSLServerに設定されていますが、クライアント認証にもこの証明書が必要です。

Tomcatでこのチェックをスキップすることは可能かどうか疑問に思いましたか？

Answer 1

いいえ、できません。

まず、属性をチェックするのは、証明書を「消費」するもの (つまり、証明書を検証および検証する必要があるエンティティ) の責任です。Tomcat サーバー内のアプリケーションを使用して、クライアント認証を使用して別のサーバーに接続する場合、その接続に関する限り、Tomcat 内のアプリケーションはクライアントになります。何を確認するかを決定するのは、接続先のサーバー次第です (この拡張機能が存在し、それを理解できる場合は、拡張キーの使用法を実際に確認します)。

第 2 に、拡張キーの使用法拡張を変更すると、証明書自体が変更されることになります。本来、これは、CA がこれらの変更を行い、それに応じて新しい証明書を提供する場合にのみ発生する可能性があります。

そうは言っても、多くの CA は、サーバーに対して発行する証明書で TLS Web サーバー認証 (1.3.6.1.5.5.7.3.1) と TLS Web クライアント認証 (1.3.6.1.5.5.7.3.2) の両方を有効にしているようです。 、追加のオプションなし。