InstallCert, l’outil TLS ultime ?

Bosser avec TLS, https et les certificats peut rapidement devenir un cauchemar. Heureusement, j’ai trouvé un solution pour vous faciliter la vie et vous permettre de gagner du temps.  Si je sujet vous interesse, vous avez sans doute vu passer un article sur l’outil SAS TLS/SSL Diagnostic Tool. Alors oui, cet outil SAS est bien, mais j'ai trouvé mieux..... J'ai trouvé l'outil ultime.... L'arme absolue..... Son nom ? InstallCert  Je vous préviens tout de suite, on ne peut pas faire plus simple comme outil. Simple mais d'un efficacité redoutable ! A mon avis, le meilleur outil dans son genre.   Ce petit programme java permet de : - Vérifier la validité un certificat serveur (ssl handshake) - Afficher  la chaîne de certification du certificat serveur - Ajouter le ou le certificat CA dans le keystore de la JVM.   Ce petit bijoux (si,si) de simplicité et d’efficacité a été développé il y a bien des années par Andreas Sterbenz, alors qu'il était Staff Engineer chez Sun.( Depuis 2008, il est Software Engineer chez Google)

Comment ça marche ?

D'abord on télécharge la source java ici. Première étape, compiler le programme : Vous avez maintenant une class InstallCert Nous allons tester l’outil sur google.fr : Ce qui donne : Tout est là ! Le SSL Handshake et la chaine de certification. En quelques secondes, nous avons pu valider notre connexion SSL sans s'embarquer dans des commandes keytool ou openssl efficace mais pris de de tête (mais si avouez le que c'est souvent prise de tête.. n'ayes pas hont de l'avouer) Maintenant  que j'ai validé que mon outil fonctionne, je peux jouer avec :   Ooopsss... Pour le coup, je m'attendais à cette erreur sur mon nom de domaine. En effet, Java 7 a introduit le support SNI (Server Name Indication), une extension du protocole TLS, et qui est activé par défaut. Certains serveurs mal configurés engendre un avertissement « Unrecognized Name » lors de la négociation SSL. Cet avertissement est ignoré par la plupart des clients SSL… sauf Java. Passons à autre chose : Encore un erreur dans le SSL handshake. Pour le coup le message d'erreur nous indique que le certificat ayant signé le serveur yahoo (Symantec Class 3 Secure Server CA) ne se trouve pas dans le keystore Java.  C'est bien dommage.... Mais comme nous ne sommes du genre à nous laisser abattre et à reculer devant une si petite difficulté (et surtout que l'outil le permet avec une facilité déconcertante) nous allons ajouté ce certificat CA dans le keystore Ni une ni deux, on relancer la commande : Bien sûr, l'outil prend un malin plaisir à nous rebalancer l'erreur, mais cette fois-ci nous sommes plus attentif et constatons que l'outil nous affiche les informations du certificat CA : ... Et nous propose également une option bien pratique : Et hop, je valide [1] et mon certificat Symantec Class 3 Secure Server CA  va s'ajouter (presque comme par magie..) dans le keystore : L'outil utlime, je vous avais prévenu ! Télécharger la source : InstallCert.java