时间戳

首页 > 解决方案 > 7.0.100+ 中 Tomcat 中的客户端证书身份验证问题

java - 7.0.100+ 中 Tomcat 中的客户端证书身份验证问题

问题描述

我们的项目中有客户的证书认证

但是，出于某种原因，在 100 次 Tomcat 发布之后似乎没有任何效果

当我们通过代理到应用程序时，我们得到400 HTTP响应或证书头为空（如果我们设置）rejectIllegalHeader="false"nginx

示例（标题的值），名称 - ssl_client_cert：

"-----BEGIN CERTIFICATE-----\x0A\x09MIIFXDCCA0SgAwIBAgIBBDANBgkqhkiG9w0BAQsFADBHMQ...
\x0A\x09-----END CERTIFICATE-----"

或者ssl_client_raw_cert

"-----BEGIN CERTIFICATE-----\x0AMIIFXDCCA0SgAwIBAgIBBDANBgkqhkiG9w0BAQsFADBHMQsw ...
y2EmDsw=\x0A-----END CERTIFICATE-----\x0A"

我想这是责备的承诺

https://github.com/apache/tomcat/commit/ae8c82eff96990878e79691819ae941538ee62fd#diff-d4454b2c33deae44a2c2f5cd354aa3ca70c6a268e78c4fd5e1f76fcebc0181ba

在第 100 个版本之前，一切正常

为了绕过我们使用ssl_client_escaped_cert的。

"-----BEGIN%20CERTIFICATE-----%0AMIIFXDCCA0SgAwIBAgIBBDANBgkqhkiG9 ...
qgt0Tzy2EmDsw%3D%0A-----END%20CERTIFICATE-----%0A"

现在我们必须在 Java 代码中手动取消转义

 String certificateInfo = URLDecoder.decode(request.getHeader(headerName), "UTF-8");

有没有办法让 Tomcat 接受第 100 版及更高版本的非转义证书？

标签： javatomcathttp-headersx509certificate

解决方案

不，您无法将 Tomcat 配置为允许 HTTP 标头值包含 0x0A。这些更改是针对CVE-2020-1935 进行的。

顺便说一句，我假设 Nginx 正在执行客户端身份验证并将经过验证的客户端证书传递给 Tomcat。

推荐阅读