PKIX path building failed (Java)

• Default truststore: $JAVA_HOME/lib/security/cacerts, пароль "changeit"
• JDK 8u101+ умеет Let's Encrypt ISRG Root X1; older — нет
• keytool -list -v -keystore cacerts — показывает все trusted CAs
• Per-app truststore: -Djavax.net.ssl.trustStore=/path/to/custom.jks
• -Djavax.net.debug=ssl:handshake:verbose — полный TLS debug

# Скачать CA cert с сервера
$ echo | openssl s_client -connect server:443 -showcerts 2>/dev/null | \
    openssl x509 -out server-ca.crt

# Import в Java cacerts
$ sudo /bin/keytool -import \
    -alias server-ca \
    -keystore /lib/security/cacerts \
    -storepass changeit \
    -file server-ca.crt

# Debug app
$ java -Djavax.net.debug=ssl:handshake MyApp

• Android trust anchor
• Install SSL nginx

Ошибка sun.security.validator.ValidatorException: PKIX path building failed возникает, когда Java-приложение не может построить цепочку сертификатов для проверки SSL-соединения. Это обычно происходит из-за отсутствия доверенных сертификатов в хранилище Java или неправильной конфигурации SSL-сертификатов на сервере. Убедитесь, что все промежуточные сертификаты установлены правильно и что ваше Java-приложение может получить к ним доступ.

Ошибка PKIX path building failed может возникать по нескольким причинам:

• Отсутствие корневого сертификата: Если корневой сертификат, подписывающий ваш SSL-сертификат, отсутствует в хранилище доверенных сертификатов Java, это может вызвать ошибку.
• Неправильная цепочка сертификатов: Все промежуточные сертификаты должны быть правильно установлены на сервере. Если какой-то из них отсутствует или неправильно установлен, это может привести к ошибке.
• Проблемы с конфигурацией Java: Убедитесь, что ваше Java-приложение использует правильное хранилище сертификатов. По умолчанию используется файл cacerts, который находится в папке lib/security вашего JRE.

Для устранения ошибки выполните следующие действия:

1. Проверьте цепочку сертификатов с помощью команды openssl s_client -connect yourdomain.com:443 -showcerts. Это поможет вам увидеть, какие сертификаты возвращаются сервером.
2. Импортируйте недостающие сертификаты в хранилище Java с помощью команды keytool -import -alias your_alias -file your_cert.crt -keystore $JAVA_HOME/lib/security/cacerts. Убедитесь, что вы используете правильный пароль для доступа к хранилищу (по умолчанию это changeit).
3. Перезапустите ваше Java-приложение, чтобы изменения вступили в силу.

Рассмотрим практический пример, когда вы пытаетесь подключиться к вашему серверу через Java-приложение и получаете ошибку PKIX path building failed. Предположим, что вы используете сервер example.com, и хотите проверить его сертификаты.

Для начала выполните команду openssl:

openssl s_client -connect example.com:443 -showcerts

Вы получите вывод, содержащий цепочку сертификатов. Обратите внимание на корневой сертификат и промежуточные сертификаты. Если какой-либо из них отсутствует, вам необходимо его получить.

Допустим, вы обнаружили, что промежуточный сертификат не установлен. Вам нужно будет его скачать и импортировать в ваше Java-хранилище сертификатов:

1. Скачайте промежуточный сертификат, например intermediate.crt.
2. Импортируйте его в хранилище Java:

keytool -import -alias intermediate_cert -file intermediate.crt -keystore $JAVA_HOME/lib/security/cacerts

После выполнения этих шагов, перезапустите ваше Java-приложение. Если все было сделано правильно, ошибка sun.security.validator.ValidatorException: PKIX path building failed должна исчезнуть, и вы сможете установить SSL-соединение без проблем.