Autenticação SSL Jboss AS7.1.1

Programação Java
#1

Olá!

Estou com problema quanto à configuração do Jboss para habilitar que o meu browser (estou usando o chrome) ofereça as opções de certificado digital para a autenticação. Esta aplicação já está em produção (então ela já funciona assim, não é problema na aplicação).
Cheguei agora no projeto e estou tentando montar um ambiente na minha máquina para debug e afins.
Ao setar o standalone.xml com verify-client= “true” recebo um erro no google chrome:

Não foi possível estabelecer uma conexão segura com este site

O certificado de login não foi aceito por localhost ou não foi fornecido.

  • Tente entrar em contato com o administrador do sistema.

ERR_BAD_SSL_CLIENT_AUTH_CERT

Trecho do meu standalone.xml:

        <connector name="https" protocol="HTTP/1.1" scheme="https" socket-binding="https" secure="true">
            <ssl name="foo-ssl" key-alias="localhost" password="password" certificate-key-file="../standalone/configuration/server.keystore" 
			verify-client="true" />				
        </connector>

Caso eu coloque verify-client=“false” ou verify-client=“want”, aparece a tela q pede o login com o certificado digital mas ao clicar, não é habilitada a pop-up do chrome para que eu forneça o certificado digital, então o atributo é devolvido nulo e não consigo fazer o batimento com o CPF/CNPJ cadastrado no banco de dados

Trecho de código que busca os dados do certificado na sessão:

`X509Certificate certs[] = (X509Certificate[]) req.getAttribute("javax.servlet.request.X509Certificate");`

A pop-up que aparece em ambientes funcionais:
tempsnip

Alguém já passou por algo parecido?

#2

Olá!

O problema era basicamente falta de conhecimento sobre autenticação SSL e de como o Jboss valida o certificado.

O motivo de dar erro quando eu setava a verificação mútua (verify-client = “true”) é que não havia na minha trustore a raiz da autoridade certificadora q emitiu o meu certificado digital (certificado cliente) então não era, para o jboss, uma autoridade certificadora confiável.
A trustore que o jboss usa por padrão é a cacerts q fica na jvm (jdk xxx/jre/lib/security/cacerts). Eu já havia criado uma própria, configurando no standalone.conf.bat (tô no windows) e adicionei o Raiz que encontrei aqui

O comando q usei para fazer o import foi esse:
keytool -import -trustcacerts -alias ACRaiz -file D:\Certificado\AC-Raiz-V5.cer -keystore server.truststore

as propriedades da truststore foram adicionadas no standalone.conf.bat assim:
set “JAVA_OPTS=%JAVA_OPTS% -Djavax.net.ssl.trustStore=…/standalone/configuration/server.truststore”
set “JAVA_OPTS=%JAVA_OPTS% -Djavax.net.ssl.trustStorePassword=password”