使用 Java 的通用访问卡（CAC）身份验证

java smartcard cac

2022-09-01 13:21:53

我正在寻找一个地方来开始学习如何使用java与政府CAC卡进行交互。

最终，我的目标是了解如何使用CAC卡身份验证（通过PIN码）来授权访问使用Tomcat / J2EE服务器托管的网站。

但我需要一个地方开始。因此，我想我应该从编写一个小的java程序开始，简单地从CAC卡中读取CAC卡信息，该卡插入到键盘上的读卡器中（戴尔键盘，CAC读卡器位于数字键盘上方）。

通过搜索谷歌，我找到了cacard java项目（https://cacard.dev.java.net/），它被OpenSSO项目所取代。但我似乎找不到如何使用它来连接卡，从卡中读取等的示例代码。

有谁知道我在哪里可以找到一些示例代码，以便我可以开始学习如何使用java与CAC卡进行交互？

谢谢

编辑：

在研究了更多之后，我在想，我是否可以在文件中设置连接器元素？clientAuth="true"server.xml

http://tomcat.apache.org/tomcat-6.0-doc/ssl-howto.html

clientAuth：如果您希望 Tomcat 要求所有 SSL 客户端提供客户端证书才能使用此套接字，请将此值设置为 true。

答案 1

您是创建Web应用程序，还是尝试编写在客户端上运行的软件（有点像您自己的Web浏览器）？

如果要创建 Web 应用程序，它几乎只是标准的客户端认证身份验证。证书来自硬件令牌的事实对服务器没有太大变化;如果只想接受 CAC 证书，则可以在服务器验证客户端证书时指定一组可接受的证书策略。（策略验证是 PKIX 验证的标准部分。如果此应用程序适用于政府客户，则需要与他们的安全团队密切合作，以确保您的解决方案满足他们的要求，这可能很严格。如果这是您的情况，请告诉我，我将使用我们遇到的一些问题更新我的答案。

如果您正在编写客户端，并且需要访问物理读取器，则可以使用 Sun PKCS #11 提供程序，因为 Java 1.5。我已经尝试了这个提供商，您可以在另一个答案中阅读更多相关信息。

在服务器上，应检查证书是否未吊销。但是，其中一些 CRL 是巨大的 — 我们有超过 100 Mb 的 CRL 文件，并且内置的 Sun 吊销检查器无法很好地扩展到此大小。

您还需要确保在Tomcat的“信任”密钥存储中拥有正确的根CA证书（政府根CA证书不太难找到，因为他们希望确保用户正确验证它们）。我们还发现，Firefox 不会发送整个证书链，除非用户手动将中间证书导入浏览器。

答案 2

您需要创建一个名为的文件，并在其中包含以下行：card.config

name = myConfig
library = /path/to/library/that/implements/cac/card/reader

然后试试这个：

import java.io.*;
import java.util.*;

import java.security.cert.CertificateException;
import java.security.KeyStoreException;
import java.security.cert.X509Certificate;

import java.security.KeyStore;
import java.security.Provider;
import java.security.SecureRandom;
import java.security.Security;

import javax.net.ssl.KeyManagerFactory;
import javax.net.ssl.SSLContext;
import javax.net.ssl.SSLSocketFactory;
import javax.net.ssl.TrustManagerFactory;

public class Test  
{
   public static void  main(String arg[]) throws Exception
   {
       try
       {   
         //Create our certificates from our CAC Card
         String configName = "card.config";
         Provider p = new sun.security.pkcs11.SunPKCS11(configName);
         Security.addProvider(p);

         //Get the pin from user entered data
         Console c = System.console();
         char[] pin = c.readPassword("Enter your PIN: ");
         KeyStore cac = null;

         cac = KeyStore.getInstance("PKCS11");
         cac.load(null, pin);

         showInfoAboutCAC(cac);

      }
      catch(Exception ex)
      {
         //System.out.println("*" + ex.getMessage());
         ex.printStackTrace();
         System.exit(0);
      }
   }

   public static void showInfoAboutCAC(KeyStore ks) throws KeyStoreException, CertificateException
   {
      Enumeration<String> aliases = ks.aliases();

      while (aliases.hasMoreElements()) 
      {
         String alias = aliases.nextElement();
         X509Certificate[] cchain = (X509Certificate[]) ks.getCertificateChain(alias);

         System.out.println("Certificate Chain for : " + alias);
         for (int i = 0; i < cchain.length; i ++)
         {
            System.out.println(i + " SubjectDN: " + cchain[i].getSubjectDN());
            System.out.println(i + " IssuerDN:  " + cchain[i].getIssuerDN());
         }
      }
   }
}

此时，您有一个密钥库，可用于创建 ssl 套接字以与 https Web 服务器通信。

使用 Java 的通用访问卡 （CAC） 身份验证

使用 Java 的通用访问卡（CAC）身份验证