Tomcat Connector trustMaxCertLength

[Greta]

Hallo zusammen,

ich bin mir gerade nicht ganz sicher ob ich das richtig verstanden hab.

Wenn mein Tomcat Verbindungen über HTPPS zulassen soll, definiere ich mir in der server.xml einen entsprechenden Connector. Das sieht dann bsow. so aus:
[XML][/XML]

Nun gibt es für den Connector noch das Attribut: trustMaxCertLength

@http://tomcat.apache.org/tomcat-7.0-doc/config/http.html#SSL_Support_-_BIO_and_NIO

The maximum number of intermediate certificates that will be allowed when validating client certificates. If not specified, the default value of 5 will be used.

Wenn ich trustMaxCertLength="1" setze und folgenden Zertifizierungspfad habe:

CA-ROOT
 |
 --CA-OTHR
    |
    --Client-Cert

Reicht es dann aus, das CA-ROOT im Truststore zu haben?

Und folgendes Zertifikat müsste abgelehnt werden?

CA-ROOT
 |
 --CA-OTHR-A
    |
    --CA-OTHER-B
       |
       --Client-Cert

[inv_zim]

So würde ich es auch interpretieren, ja. Der Parameter steuert die Anzahl der maximalen Zwischenzertifizierungsstellen. Sollte es mehr als zwei geben, müsste dein Tomcat die Verbindung ablehnen.

[cmrudolph]

Ich habe mich gerade kurz durch den Tomcat-Quellcode gewühlt. Die Eigenschaft ist ein Wrapper für PKIXBuilderParameters.html#setMaxPathLength(int) (wenn man die JSSE-Implementierung für SSL-Sockets gewählt hat) bzw. für SSLContext.html#setVerify(…) (bei Verwendung von OpenSSL).

Die gekürzte Doku dazu:

@JSSE

Sets the value of the maximum number of non-self-issued intermediate certificates that may exist in a certification path. A certificate is self-issued if the DNs that appear in the subject and issuer fields are identical and are not empty. Note that the last certificate in a certification path is not an intermediate certificate, and is not included in this limit. Usually the last certificate is an end entity certificate, but it can be a CA certificate. A PKIX CertPathBuilder instance must not build paths longer than the length specified. […]

@OpenSSL

[…] The depth actually is the maximum number of intermediate certificate issuers, i.e. the number of CA certificates which are max allowed to be followed while verifying the client certificate. A depth of 0 means that self-signed client certificates are accepted only, the default depth of 1 means the client certificate can be self-signed or has to be signed by a CA which is directly known to the server (i.e. the CA’s certificate is under setCACertificatePath), etc.

Diese Dokumentation bestätigt meiner Lesart nach deine Annahme. Edit: Zumindest bei OpenSSL scheint das Rootzertifikat mitgezählt zu werden.

Ging es dir bei der Frage darum, wie der Parameter zu interpretieren ist, oder möchtest du den Wert tatsächlich auf 1 reduzieren?

Der Defaultwert ist (zumindest bei Tomcat 9) übrigens 10, nicht 5.

[Greta]

Es soll tatsächlich auf ein Zwischenzertifikat reduziert werden. Der Kunde möchte das so.

Der Truststore ist mit Keytool erstelt, dann sollte das also so korrekt sein. Das ganze wird ja eh nochmal getestet bevor es produktiv geht, wollte mich dann nur nicht blamieren xD