JNDI LDAPSカスタムのHostnameVerifierとのTrustManager

Question

我々は異なるLDAPサーバーに接続しなければならないアプリケーションを書いています。各サーバーについて、特定の証明書のみを受け入れることができます。その証明書のホスト名は重要ではありません。 StartTlsResponse.setHostnameVerifier(..-)を使用し、と一致するStartTlsResponse.negotiate(...)を使用できるため、LDAPとSTARTTLSを使用すると簡単です。しかし、LDAPS接続もサポートする必要があります。 Javaはこれをネイティブにサポートしていますが、サーバー証明書がデフォルトのJavaキーストアによって信頼されている場合のみです。これを置き換えることはできますが、サーバーごとに異なるキーストアを使用することはできません。

Hashtable<String,String> env = new Hashtable<String,String>(); 
env.put(Context.INITIAL_CONTEXT_FACTORY, "com.sun.jndi.ldap.LdapCtxFactory"); 
env.put(Context.PROVIDER_URL, (encryption == SSL ? "ldaps://" : "ldap://") + host + ":" + port); 
if (encryption == SSL) { 
    // env.put("java.naming.ldap.factory.socket", "CustomSocketFactory"); 
} 
ctx = new InitialLdapContext(env, null); 
if (encryption != START_TLS) 
    tls = null; 
else { 
    tls = (StartTlsResponse) ctx.extendedOperation(new StartTlsRequest()); 
    tls.setHostnameVerifier(hostnameVerifier); 
    tls.negotiate(sslContext.getSocketFactory()); 
} 

我々は独自のCustomSocketFactoryを追加することもできますが、どのように情報を渡すために、次のよう

既存の接続コードはありますか？

Answer 1

は同じ問題を抱えている。このようにそれを使用して

import javax.net.SocketFactory; 

public abstract class ThreadLocalSocketFactory 
    extends SocketFactory 
{ 

    static ThreadLocal<SocketFactory> local = new ThreadLocal<SocketFactory>(); 

    public static SocketFactory getDefault() 
    { 
    SocketFactory result = local.get(); 
    if (result == null) 
     throw new IllegalStateException(); 
    return result; 
    } 

    public static void set(SocketFactory factory) 
    { 
    local.set(factory); 
    } 

    public static void remove() 
    { 
    local.remove(); 
    } 

} 

：私は私の場合のために非常に醜い解決策を見つけた

env.put("java.naming.ldap.factory.socket", ThreadLocalSocketFactory.class.getName()); 
ThreadLocalSocketFactory.set(sslContext.getSocketFactory()); 
try { 
    ctx = new InitialLdapContext(env, null); 
} finally { 
    ThreadLocalSocketFactory.remove(); 
} 

ない素敵な、それが動作します。 JNDIは、私は上記の私のリストにこのコード行を持って

Answer 2

あなたは自分のSSLSocketFactoryサブクラスの名前を渡し、"Using Custom Sockets" section of the Java LDAP/SSL guideで説明したように、"java.naming.ldap.factory.socket"のenvプロパティに名前の完全修飾を渡す必要があります。

env.put("java.naming.ldap.factory.socket", "example.CustomSocketFactory"); 

あなたはこのクラスに特定の引数を渡すことはできません、 com.sun.jndi.ldap.Connection.createSocket(...)でインスタンス化を参照してください。

Class socketFactoryClass = Obj.helper.loadClass(socketFactory); 
Method getDefault = 
    socketFactoryClass.getMethod("getDefault", new Class[]{}); 
Object factory = getDefault.invoke(null, new Object[]{}); 

あなたは追加のパラメータが必要な場合、あなたは（通常は理想的な）おそらく静的メンバまたはJNDIを使用する必要があります。

私の知る限り、残念ながら、この実装でldaps://を使用するときに任意のホスト名の検証があるようには思えません。あなたがトラストマネージャー内の1つの明示的な証明書だけを信頼する場合、これはとにかくホスト名検証の欠如を補うものでなければなりません。他人のために