Java_解决java.security.cert.CertificateException: Certificates does not conform to algorithm constrain...

最新推荐文章于 2024-10-14 15:37:05 发布
最新推荐文章于 2024-10-14 15:37:05 发布
阅读量162 收藏
点赞数
CC 4.0 BY-SA版权
文章标签： java
原文链接：http://www.cnblogs.com/gisblogs/p/4571293.html
本文提供了一种方法来修改 Java 安全配置文件中的 jdk.certpath.disabledAlgorithms 条目，以禁用 MD2, DSA 和 RSA密钥大小小于 2048 的算法。

摘要生成于 C知道 ，由 DeepSeek-R1 满血版支持， 前往体验 >

找到 jre/lib/security/java.security

 将

jdk.certpath.disabledAlgorithms=MD2, DSA, RSA keySize < 2048

改为

jdk.certpath.disabledAlgorithms=

转载于:https://www.cnblogs.com/gisblogs/p/4571293.html

java.security.cert.CertificateException: 证书异常的正确解决办法
wbajsjhhhhh的博客
04-27 3377
java.security.cert.CertificateException: 证书异常的正确解决办法
解决ssl java.security.cert.CertificateException: No name match
清心寡欲，做一个专注的程序员
05-29 4483
记录一次activemq ssl java.security.cert.CertificateException: No name matching localhost found的问题
java生成数字证书（一、公钥数字证书）
huahuast的博客
05-16 5690
这一段时间做毕业设计，要生成数字证书，于是学习了相关知识，这儿和大家分享一下。 首先介绍一下数字证书的分类，数字证书分为两种：公钥数字证书（cer）和私钥数字证书（pfx），顾名思义cer就是只含有公钥的数字证书，pfx则含有私钥。 1.生成公钥数字证书 需要导入bouncycastle-jce-jdk13-112.jarpackage ca;import java.io.FileOutput
终极解决方案：java.security.cert.CertificateException: Certificates does not conform to algorithm constrain...
weixin_34062469的博客
09-06 1948
报错信息 javax.net.ssl.SSLHandshakeException: java.security.cert.CertificateException: Certificates does not conform to algorithm constraints 原因： 　　JDK7/8后添加了安全机制，导致这个问题出现 解决方案： 方案一：  把$JAVA_HOME/jr...
java.security.cert.CertificateException: Certificates does not conform to algorithm constraints
applehepeach的博客
01-13 3662
如果你在用mvn打包时遇到这个问题java.security.cert.CertificateException: Certificates does not conform to algorithm constraints 那么请修改java.security的配置文件 位置在： vim JAVA_HOME/jre/lib/security/java.security 在java1.6
解決 java.security.cert.CertificateException: Certificates does not conform to algorithm constraints...
weixin_30527551的博客
12-12 837
背景：迁移服务器，每次使用20小时后报此错，重启服务器后又能用了查网，网上的解决方案都是：找到 jre/lib/security/java.security 将 jdk.certpath.disabledAlgorithms=MD2, DSA, RSA keySize < 2048 改为 jdk.certpath.disabledAlgorithm...
java.security.cert.CertificateException: No subject alternative DNS name matching XXX found解决方案
12-21
总之，解决"java.security.cert.CertificateException: No subject alternative DNS name matching XXX found"的关键在于确保服务器证书的主题备用名称与你试图连接的域名匹配，或者在必要时安全地绕过验证。...
访问https地址时出现异常：java.security.cert.CertificateException: No subject alternative names present
热门推荐
weixin_37782390的博客
08-20 3万+
前几天在工作中碰到一个问题，我们通过回调接口的形式向对接方返回数据，在工程中使用的HttpClient是Spring自带的RestTemplate。但是有一家给到的回调地址为https://ip地址+uri的形式，在进行回调时抛出了如题异常，我理解为是目标地址没有安全证书导致的。查阅一些资料后知道，原来https访问的时候是需要域名才可以的，无法使用ip。这跟前面的没有安全证书又有什么联系呢？其实...
记一次线上异常：Certificates does not conform to algorithm constraints
weixin_42330402的博客
05-30 3024
在老系统突然发现了一个异常，在https的请求过程中抛出的，因为该业务使用的比较少，加上一直是在老系统中，监控做的并不到位，导致这个异常在现在跑了好久才被发现。异常信息 如下：javax.net.ssl.SSLHandshakeException: java.security.cert.CertificateException: Certificates does not conform to a...
JDK17下，使用SHA1算法报Certificates do not conform to algorithm constraints错误
weixin_42173947的博客
10-14 942
JDK17下，使用SHA1算法报Certificates do not conform to algorithm constraints错误
JAVA_HOME报错javax.net.ssl.SSLHandshakeException: java.security.cert.CertificateException
w2909526的博客
01-11 2913
由于支付项目出现这种报错 javax.net.ssl.SSLHandshakeException: java.security.cert.CertificateException: Certificates does not conform to algorithm constraints 最终查找原因是java7/8添加了安全机制 导致md5验签问题 解决方法： 把JAVA_HOME/jr...
dubbo报错Caused by: java.security.cert.CertificateNotYetValidException: NotBefore: XXX的解决
weixin_58073467的博客
11-29 1219
报错的时间不一致，可能是虚拟机时间不一致导致的集群出问题，查看虚拟机时间看看时区是否有偏差。时区正确，可能是虚拟机重启后导致的偏差，此时下载ntpdate调整。调用dubbo生产者的service时，出现以下报错。
sqlserver 项目中连接失败，驱动程序无法通过使用安全套接字层(SSL) 与 java.security.cert.CertificateException
qq_37234382的博客
10-17 1718
问题一：驱动程序无法通过使用安全套接字层(SSL) 注意： 有两个 jre 文件夹，一个是 jdk内包含的，一个是 单独的 jre 解决办法：把jdk下面的\jre\lib\security下面的java.security文件下（另一个 jre文件下 相同路径与文件），将jdk.tls.disabledAlgorithms和jdk.tls.legacyAlgorithms 后面的3DES_EDE_CBC给删掉，就可以了。 问题一引用于：https://blog.csdn.net/ADNAP7/ar..
java cert_CertificateParsingException
weixin_34338129的博客
03-06 362
CertificateParsingException ClassDefinitionAssembly:Mono.Android.dllThe exception that is thrown when a Certificate can not be parsed.In this article[Android.Runtime.Register("java/security/cert/Certi...
java cert_javacert
weixin_36382265的博客
02-12 168
{"data":{"id":"8000-000000437045-0","name":"SEO专题页栏目分发组","type":"1","position":"8000-000000004003-0","status":1,"linkList":[{"id":"8000-000000646890-0","keyword":"[案例]Debian系统下1822网卡上报Unrecoverable er...
java x509keypair_java – 使用带有证书路径(cert chain)的bouncycastle创建x.509证书
weixin_36085895的博客
02-24 408
Hy Guys！我正在尝试使用bouncycastle创建x.509证书,该证书应该由另一个证书签名并存储为PEM base 64格式.我已经拥有自签名证书(公钥和私钥).现在我想创建一个新的,并使用现有的自签名证书签名.KeyPairGenerator keyPairGenerator = KeyPairGenerator.getInstance("RSA","BC");keyPairGener...
java字段签名_java.security.cert.CertificateParsingException:签名字段无效 - java
weixin_40001309的博客
03-08 2959
我正在尝试阅读X509 certificateFileInputStream fr = new FileInputStream("suresh.pfx");CertificateFactory cf = CertificateFactory.getInstance("X509");X509Certificate c = (X509Certificate) cf.generateCertific...
Spring Boot读取trustStore出错
scruffybear的专栏
07-02 1794
Spring Boot读取trustStore报错，进行了排查并解决。
Caused by: java.security.cert.CertificateException: Certificates do not conform to algorithm constraints at java.base/sun.security.ssl.AbstractTrustManagerWrapper.checkAlgorithmConstraints(SSLContextImpl.java:1568) at java.base/sun.security.ssl.AbstractTrustManagerWrapper.checkAdditionalTrust(SSLContextImpl.java:1493) at java.base/sun.security.ssl.AbstractTrustManagerWrapper.checkServerTrusted(SSLContextImpl.java:1437) at java.base/sun.security.ssl.CertificateMessage$T12CertificateConsumer.checkServerCerts(CertificateMessage.java:638) ... 19 common frames omitted Caused by: java.security.cert.CertPathValidatorException: Algorithm constraints check failed on keysize limits: RSA 1024 bit key used with certificate: CN=SSL_Self_Signed_Fallback at java.base/sun.security.util.DisabledAlgorithmConstraints$KeySizeConstraint.permits(DisabledAlgorithmConstraints.java:899) at java.base/sun.security.util.DisabledAlgorithmConstraints$Constraints.permits(DisabledAlgorithmConstraints.java:531) at java.base/sun.security.util.DisabledAlgorithmConstraints.permits(DisabledAlgorithmConstraints.java:262) at java.base/sun.security.util.DisabledAlgorithmConstraints.permits(DisabledAlgorithmConstraints.java:206) at java.base/sun.security.provider.certpath.AlgorithmChecker.check(AlgorithmChecker.java:292) at java.base/sun.security.ssl.AbstractTrustManagerWrapper.checkAlgorithmConstraints(SSLContextImpl.java:1564) ... 22 common frames omitted
最新发布
06-13
<think>我们正在解决Java中由于算法限制导致的证书异常问题，具体异常包括：-javax.net.ssl.SSLHandshakeException:java.security.cert.CertificateException:Certificatesdoesnotconformtoalgorithmconstraints-java.security.cert.CertPathValidatorException:Algorithmconstraintscheckfailedonkeysizelimits:RSA2048bitkeyusedwithcertificate根据引用[4]，解决方案是修改JRE的安全配置文件，解除对弱算法的限制。但是，请注意，解除限制可能会降低安全性，因此需要谨慎操作。具体步骤：1.找到JRE的安装目录下的安全配置文件：`jre/lib/security/java.security`2.打开该文件，找到类似`jdk.certpath.disabledAlgorithms`和`jdk.tls.disabledAlgorithms`的配置项。3.修改这些配置项，移除对RSA密钥长度的限制（例如，移除`RSAkeySize<2048`）或者整个禁用算法列表（如引用[4]所述，将其设置为空，但这样会禁用所有算法限制，不安全）。然而，更安全的做法是只移除对特定密钥长度的限制，或者升级证书以使用符合要求的密钥长度（如2048位或以上）。引用[2]中提到的问题是由于使用了RSA2048位密钥的证书，但配置中可能要求更高的密钥长度（比如要求3072位以上）？或者配置中禁用了2048位？需要检查具体的配置。根据引用[4]的解决方案，我们修改`jdk.certpath.disabledAlgorithms`，移除`RSAkeySize<2048`，这样2048位的RSA密钥就被允许了。但是，如果我们的证书是1024位，那么移除这个限制后1024位也会被允许，但1024位是不安全的。因此，我们有两种解决方案：方案1（推荐）：升级服务器证书，使用2048位或以上的密钥。方案2：修改客户端（即运行Java程序的机器）的JRE安全配置，允许使用较低强度的算法（如1024位RSA）。但请注意，这会使客户端容易受到攻击。具体修改`java.security`文件的方法：找到以下行：jdk.certpath.disabledAlgorithms=MD2,DSA,RSAkeySize<2048修改为（移除RSA密钥长度限制）：jdk.certpath.disabledAlgorithms=MD2,DSA或者，如果问题是由TLS算法的限制引起的，则修改：jdk.tls.disabledAlgorithms=...#移除其中的RSA密钥长度限制另外，也可以通过编程方式在运行时修改安全属性，但这种方法需要谨慎，并且可能不被推荐，因为它可能影响整个JVM的安全策略。编程方式示例：在程序启动时（例如在main方法的开头）添加：java.security.Security.setProperty("jdk.certpath.disabledAlgorithms","MD2,DSA");java.security.Security.setProperty("jdk.tls.disabledAlgorithms","SSLv3,RC4,DES,MD5withRSA,DHkeySize<1024,ECkeySize<224,3DES_EDE_CBC,anon,NULL");注意：编程方式修改全局安全属性可能会影响同一JVM中其他部分的安全性，且必须在创建SSL连接之前设置。然而，根据引用[2]中的错误信息，它提到“RSA2048bitkeyusedwithcertificate”，这可能是说证书使用了2048位的RSA密钥，但配置中要求更高的密钥长度？或者配置中禁用了2048位？实际上，从常见的配置看，默认禁用的是小于2048位的RSA密钥。所以2048位的密钥应该是允许的。因此，这个错误可能是由于其他原因。重新审视错误信息[2]：`Causedby:java.security.cert.CertPathValidatorException:Algorithmconstraintscheckfailedonkeysizelimits:RSA2048bitkeyusedwithcertificate:CN=MySQL_Server_x.x.xx_Auto_Generated_CA_Certificate`这个错误很奇怪，因为2048位是安全的，通常不会被禁用。可能的原因是在配置中禁用了2048位？或者配置中要求更高的密钥长度？查看默认的`java.security`文件，在较新的JDK版本中（如JDK8及以上），默认配置中通常禁用RSA密钥小于1024位（但后来更新为小于2048位）。然而，错误信息中明确是2048位，所以可能是配置中设置了更高的要求（例如要求3072位以上）？因此，我们需要检查`java.security`文件中的`jdk.certpath.disabledAlgorithms`和`jdk.tls.disabledAlgorithms`，看是否包含了类似`RSAkeySize<3072`这样的配置，如果有，那么2048位就被禁用了。解决方案：根据实际情况调整配置，比如将`RSAkeySize<3072`修改为`RSAkeySize<1024`（这样2048位就是允许的）或者直接移除RSA密钥长度限制（不推荐）。另外，引用[3]中的错误信息提到了TLS_ECDHE_RSA_WITH_AES_128_GCM_SHA256这个密码套件，这通常是一个强密码套件，错误可能是由于证书验证失败（证书未知）引起的，而不是算法约束问题。所以需要区分不同的问题。针对用户的问题，我们总结如下：问题：Java中由于算法限制导致的证书异常，具体是RSA2048位密钥的证书被拒绝。可能的原因：1.安全配置中禁用了RSA2048位（比如配置了`RSAkeySize<2048`会禁用小于2048位的，而配置了`RSAkeySize<3072`会禁用小于3072位的，因此2048位就被禁用了）。2.证书链中可能存在其他证书（如CA证书）使用了较弱的算法（如1024位RSA），导致整个证书链被拒绝。解决方案：1.检查证书链中所有证书的密钥长度，确保都符合安全配置的要求。2.修改JRE的安全配置文件`java.security`，调整`jdk.certpath.disabledAlgorithms`和`jdk.tls.disabledAlgorithms`中的RSA密钥长度限制，使其允许2048位（例如，如果配置是`RSAkeySize<3072`，则将其改为`RSAkeySize<1024`，这样2048位和3072位都允许；或者更精确地，可以设置为`RSAkeySize<2048`来禁用小于2048位的，而允许2048位及以上）。3.如果问题仍然存在，考虑升级证书，使用更长的密钥（如3072位）或更安全的算法（如ECDSA）。注意：修改安全配置可能会降低安全性，请根据实际的安全需求进行权衡。下面给出具体的操作步骤：步骤1：定位并编辑`java.security`文件-该文件位于JRE安装目录的`lib/security`子目录下。例如：`$JAVA_HOME/jre/lib/security/java.security`步骤2：查找`jdk.certpath.disabledAlgorithms`和`jdk.tls.disabledAlgorithms`-使用文本编辑器打开文件，搜索这两个属性。步骤3：修改RSA密钥长度限制-假设原配置为：`jdk.certpath.disabledAlgorithms=MD5,SHA1,DSAkeySize<1024,RSAkeySize<2048,ECkeySize<224`我们想要允许2048位的RSA，那么将`RSAkeySize<2048`改为`RSAkeySize<1024`（这样1024位被禁用，2048位允许），或者直接移除`RSAkeySize<2048`（但这样会允许1024位，不安全）。-如果错误是由于2048位被禁用了（因为配置了更高的要求，例如`RSAkeySize<3072`），那么将其修改为`RSAkeySize<2048`，这样2048位就被允许了，而小于2048位的被禁用。步骤4：保存文件并重启Java应用程序。如果不想修改全局配置，也可以尝试在启动应用程序时通过命令行参数修改安全属性：java-Djdk.certpath.disabledAlgorithms="MD5,SHA1,DSAkeySize<1024,ECkeySize<224"-Djdk.tls.disabledAlgorithms="SSLv3,RC4,DES,MD5withRSA,DHkeySize<1024,ECkeySize<224,3DES_EDE_CBC,anon,NULL"-jaryour_application.jar这样，在启动时覆盖了安全属性，允许了2048位及以上的RSA（因为配置中没有禁用2048位的RSA）。但是，请注意，错误信息中明确指出是2048位的证书，所以最可能的原因是配置中禁用了2048位（即配置了`RSAkeySize<3072`）。因此，修改配置允许2048位即可。如果以上方法都不能解决问题，那么可能需要检查证书本身是否有效，以及是否被信任。最后，强调安全的重要性：在放宽算法限制之前，请评估风险，并尽量使用符合当前安全标准的证书。根据用户提供的引用[4]，他们通过将`jdk.certpath.disabledAlgorithms`设置为空来解决问题，但这是不安全的，不推荐。因此，我们推荐精确修改配置，只允许当前需要的算法和密钥长度，而不是完全禁用算法约束。</think>### 解决Java证书算法约束异常 当Java应用程序遇到`java.security.cert.CertificateException`或`CertPathValidatorException`时，通常是由于JRE的安全策略限制了弱加密算法（如RSA 1024位密钥）。以下是逐步解决方案： --- ### **解决方案** #### 1. **修改JRE安全策略文件**（推荐永久方案） 1. 定位JRE的`java.security`文件： ```bash # 路径示例： $JAVA_HOME/jre/lib/security/java.security # JDK 8及以下 $JAVA_HOME/conf/security/java.security # JDK 9+ ``` 2. 修改算法约束配置： ```properties # 原配置（禁用弱算法）： jdk.certpath.disabledAlgorithms=MD2, RSA keySize < 2048, DSA keySize < 2048 # 修改后（移除RSA密钥长度限制）： jdk.certpath.disabledAlgorithms=MD2, DSA keySize < 2048 # 允许RSA 1024/2048位 ``` 3. 保存文件并重启应用[^4]。 #### 2. **运行时覆盖安全属性**（临时方案） 在启动JVM时添加参数： ```bash java -Djdk.certpath.disabledAlgorithms="MD2, DSA keySize < 2048" \ -Djdk.tls.disabledAlgorithms="SSLv3, RC4, DES, MD5" \ -jar your_app.jar ``` #### 3. **升级证书**（根本解决方案） - 将服务器证书升级到**RSA 2048位以上**或**ECC 256位以上**。 - 重新生成MySQL自动证书（参考错误中的`CN=MySQL_Server_x.x.xx_Auto_Generated_CA_Certificate`[^2]）。 #### 4. **检查证书链** 使用`keytool`验证证书： ```bash keytool -printcert -file server.crt ``` 确保整个证书链（根CA/中间CA/终端证书）均符合密钥长度要求。 --- ### **根本原因分析** - **安全策略限制**：Java默认禁用弱加密算法（如RSA <2048位）[^1][^4]。 - **证书问题**：服务器使用了低强度证书（如MySQL自动生成的1024位RSA证书）[^2]。 - **协议冲突**：TLS握手时算法约束检查失败（常见于旧版JDK）[^3]。 --- ### **安全建议** 1. **优先升级证书**而非放宽安全策略。 2. 若必须使用旧证书： - 仅在生产环境临时放宽策略 - 在`java.security`中精确指定允许的算法（例：`RSA keySize >= 1024`） 3. 更新JDK至最新版（修复已知策略缺陷）。 > **注意**：完全禁用策略（如`jdk.certpath.disabledAlgorithms=`）会暴露于[中间人攻击](https://en.wikipedia.org/wiki/Man-in-the-middle_attack)，仅作为最后手段[^4]。 ---
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值