Connexion à Websphere MQ en Java avec SSL / Keystore

Alex Fehners tutoriel en developerWorks est un peu vieux (2005), mais a des exemples de code qui devrait fonctionner pour vous.

SSL configuration de Websphere MQ Java/client JMS

Votre application Java s'authentifie l'QMgr basé sur son certificat. Cela signifie que le fichier jks vous a été fourni doit avoir soit le QMgr du certificat auto-signé ou il aura le certificat racine de l'Autorité de certification qui a signé le QMgr du certificat. Dans les deux cas, vous pointez vers le fichier à l'aide de la -Djavax.net.ssl.trustStore=<location of trustStore> comme indiqué dans l'article lié ci-dessus. Si le jks a un mot de passe, vous devrez le spécifier -Djavax.net.ssl.trustStorePassword=<password>. L'authentification de l'QMgr avec un truststore est toujours nécessaire. La partie suivante peut ou peut ne pas être nécessaire.

L'autre pièce du puzzle est que le QMgr peuvent exiger de votre application de présenter un certificat. En d'autres termes, la QMgr cert est toujours authentifié, si l'application est requise pour l'authentification est facultatif. Si elle est, alors vous avez ce qui est connu comme "l'authentification mutuelle". Si la chaîne que vous vous connectez à a été configuré avec SSLCAUTH(REQUIRED) ensuite mutuelle auth a été activée et le QMgr devez avoir l'application de l'auto-signé cert ou d'une autorité de certification racine cert qui a signé de votre application cert dans son fichier de clés. Espérons que quiconque configurer votre fichier jks l'avez déjà.

En supposant mutuelle d'authentification est requis, votre jks aura, en plus de la QMgr de confiance du cert, un organisme privé cert représentant votre application. Pour obtenir l'application pour récupérer le cert et le présenter à la QMgr, vous utilisez le -Djavax.net.ssl.keyStore=<location of keyStore> et -Djavax.net.ssl.keyStorePassword=<password> paramètres. Remarque ces dire clé magasin alors que la précédente parms dit confiance magasin.

Ma recommandation est de travailler avec les WMQ administrateur pour configurer et tester la connexion SSL. La première phase devrait être de tester le canal avec SSLCAUTH(OPTIONAL). Il vérifie que l'application peut résoudre et d'authentifier le QMgr du certificat. Seulement lorsque vous obtenez ce travail serait la WMQ admin puis de changer le canal de SSLCAUTH(REQUIRED) les tests d'authentification dans le sens inverse.

Je très vous recommandons d'utiliser le WMQ v7 client pour une nouvelle application. C'est pour deux raisons: 1) v6 est en fin de vie à compter de Septembre 2011; 2) la v7 code a beaucoup plus de capacité de diagnostic intégré. La v7 code du client est totalement compatible avec un v6 QMgr et fonctionne comme le v6 client. Vous venez de ne pas obtenir la v7 fonctionnalité. Télécharger le WMQ client code gratuit ici:

IBM - MQC7: WebSphere MQ V7.0 Clients

Je suis l'exécution du WMQ les Mains Sur la Sécurité en Laboratoire à l'IMPACT de cette année et sera poster les scripts et guide de laboratoire au cours du week-end à http://t-rob.net alors revenez pour que.

Essayer ce code avec T. Prive les explications sur le certificat:

import com.ibm.mq.jms.*;

import java.io.FileInputStream;
import java.io.Console;
import java.security.*;

import javax.jms.JMSException;
import javax.jms.QueueConnection;
import javax.net.ssl.KeyManagerFactory;
import javax.net.ssl.SSLContext;
import javax.net.ssl.SSLSocketFactory;
import javax.net.ssl.TrustManagerFactory;

import com.ibm.mq.jms.MQQueueConnectionFactory;

public class SSLTest {

   public static void main(String[] args) {
      System.out.println(System.getProperty("java.home"));

      String HOSTNAME = "myhost";
      String QMGRNAME = "MyQMGR";
      String CHANNEL = "MY.SVRCONN";
      String SSLCIPHERSUITE = "TLS_RSA_WITH_AES_256_CBC_SHA";

      try {
         Class.forName("com.sun.net.ssl.internal.ssl.Provider");

         System.out.println("JSSE is installed correctly!");

         Console console = System.console();
         char[] KSPW = console.readPassword("Enter keystore password: ");

         //instantiate a KeyStore with type JKS
         KeyStore ks = KeyStore.getInstance("JKS");
         //load the contents of the KeyStore
         ks.load(new FileInputStream("/home/hudo/hugo.jks"), KSPW);
         System.out.println("Number of keys on JKS: "
               + Integer.toString(ks.size()));

         //Create a keystore object for the truststore
         KeyStore trustStore = KeyStore.getInstance("JKS");
         //Open our file and read the truststore (no password)
         trustStore.load(new FileInputStream("/home/xwgztu2/xwgztu2.jks"), null);

         //Create a default trust and key manager
         TrustManagerFactory trustManagerFactory =
           TrustManagerFactory.getInstance(TrustManagerFactory.getDefaultAlgorithm());
         KeyManagerFactory keyManagerFactory =
           KeyManagerFactory.getInstance(KeyManagerFactory.getDefaultAlgorithm());

         //Initialise the managers
         trustManagerFactory.init(trustStore);
         keyManagerFactory.init(ks,KSPW);

         //Get an SSL context.
         //Note: not all providers support all CipherSuites. But the
         //"SSL_RSA_WITH_3DES_EDE_CBC_SHA" CipherSuite is supported on both SunJSSE
         //and IBMJSSE2 providers

         //Accessing available algorithm/protocol in the SunJSSE provider
         //see http://java.sun.com/javase/6/docs/technotes/guides/security/SunProviders.html
         SSLContext sslContext = SSLContext.getInstance("SSLv3");

         //Acessing available algorithm/protocol in the IBMJSSE2 provider
         //see http://www.ibm.com/developerworks/java/jdk/security/142/secguides/jsse2docs/JSSE2RefGuide.html
         //SSLContext sslContext = SSLContext.getInstance("SSL_TLS");
          System.out.println("SSLContext provider: " +
                            sslContext.getProvider().toString());

         //Initialise our SSL context from the key/trust managers
         sslContext.init(keyManagerFactory.getKeyManagers(),
                         trustManagerFactory.getTrustManagers(), null);

         //Get an SSLSocketFactory to pass to WMQ
         SSLSocketFactory sslSocketFactory = sslContext.getSocketFactory();

         //Create default MQ connection factory
         MQQueueConnectionFactory factory = new MQQueueConnectionFactory();

         //Customize the factory
         factory.setSSLSocketFactory(sslSocketFactory);
         //Use javac SSLTest.java -Xlint:deprecation
         factory.setTransportType(JMSC.MQJMS_TP_CLIENT_MQ_TCPIP);
         factory.setQueueManager(QMGRNAME);
         factory.setHostName(HOSTNAME);
         factory.setChannel(CHANNEL);
         factory.setPort(1414);
         factory.setSSLFipsRequired(false);
         factory.setSSLCipherSuite(SSLCIPHERSUITE);

         QueueConnection connection = null;
         connection = factory.createQueueConnection("",""); //empty user, pass to avoid MQJMS2013 messages
         connection.start();
         System.out.println("JMS SSL client connection started!");
         connection.close();

      } catch (JMSException ex) {
         ex.printStackTrace();
      } catch (Exception ex){
         ex.printStackTrace();
      }
   }
}