Estou tentando configurar um backend de jetty-distribution-9.3.1.v20150714 em execução em Java 1.8.0_45-b14 com um certificado assinado por um certificado de CA autoassinado para fixação de SSL.
Seguindo guia da Apple , criei um certificado de CA autoassinado e, em seguida, criei um certificado com base nesse certificado de CA.
O resultado é um ServerCertificate.p12 com certificado do servidor e uma chave privada e um arquivo root.cer , que será usado para fixar.
$ keytool -list -keystore keystore.p12 -storetype pkcs12
server, Jul 27, 2015, PrivateKeyEntry,
Certificate fingerprint (SHA1): AA:BB:CC.........11:22:33
Já trabalhei antes com certificados assinados por autoridades de certificação confiáveis, portanto, o back-end deve ter o SSL configurado corretamente. O framework de pinagem do aplicativo para dispositivos móveis foi testado com um website diferente, ele funciona bem.
Mas o aplicativo não consegue se conectar ao meu back-end com esse keystore: Trust anchor for certification path not found.
Tive a sensação de que o certificado da autoridade de certificação está ausente do armazenamento de chaves, por isso tentei adicioná-lo com keytool -import -alias root -keystore keystore.p12 -storetype pkcs12 -trustcacerts -file root.crt (.crt é um arquivo de certificado legível base64), mas não ajudou.
# after adding root.crt
$ keytool -list -keystore keystore.p12 -storetype pkcs12
server, Jul 27, 2015, PrivateKeyEntry,
Certificate fingerprint (SHA1): AA:BB:CC.........11:22:33
root, Jul 27, 2015, trustedCertEntry,
Certificate fingerprint (SHA1): FF:DD:EE.........33:22:11
$ openssl s_client -connect example.com:443
CONNECTED(00000003)
depth=1 CN = Product CA, C = AU
verify error:num=19:self signed certificate in certificate chain
---
Certificate chain
0 s:/CN=Product/C=AU
i:/CN=Product CA/C=AU
1 s:/CN=Product CA/C=AU
i:/CN=Product CA/C=AU
---
Server certificate
-----BEGIN CERTIFICATE-----
MIIDADCCAei..................................
.............................................
..........BASE64.STUFF.......................
.............................................
................................eTVowuY+erkaf
+sIO4w==
-----END CERTIFICATE-----
subject=/CN=Product/C=AU
issuer=/CN=Product CA/C=AU
---
No client certificate CA names sent
Peer signing digest: SHA512
Server Temp Key: DH, 2048 bits
---
SSL handshake has read 2732 bytes and written 636 bytes
---
New, TLSv1/SSLv3, Cipher is DHE-RSA-AES256-GCM-SHA384
Server public key is 2048 bit
Secure Renegotiation IS supported
Compression: NONE
Expansion: NONE
No ALPN negotiated
SSL-Session:
Protocol : TLSv1.2
Cipher : DHE-RSA-AES256-GCM-SHA384
Session-ID: 55B6.........................2B4
Session-ID-ctx:
Master-Key: 1C.............................................................................30AF
Key-Arg : None
PSK identity: None
PSK identity hint: None
SRP username: None
Start Time: 1497776932
Timeout : 300 (sec)
Verify return code: 19 (self signed certificate in certificate chain)
---
closed
Curiosamente, curl https://example.com --cacert server.cer funciona bem ... (não funciona sem o --cacert)
Alguma ideia do que há de errado com a configuração?