취미로 코딩

시작은 예외 메시지 한 줄

Java로 만든 프로그램을 실행했을 때, 아래와 같은 예외가 발생했습니다.
특히 외부 HTTPS 서버에 접속하려 할 때 터졌습니다.

javax.net.ssl.SSLHandshakeException: PKIX path building failed: 
sun.security.provider.certpath.SunCertPathBuilderException: 
unable to find valid certification path to requested target

🧠 이 예외의 의미는?

📌 한마디로 말하면:

"Java가 접속하려는 서버의 인증서를 신뢰하지 못했다"는 뜻입니다.

조금 더 자세히 보면:

이때 "PKIX path building failed"란 말은,
신뢰할 수 있는 루트 인증서까지 연결되는 경로(path)를 못 찾았다는 뜻입니다.
 
 

🔍 내 환경에서는 왜 생겼을까?

저는 우분투 서버에서 Java 8 (OpenJDK 1.8.0_292) 환경에서
https://example.com 및 https://example.s3.xxx.amazon.com
같은 외부 서버에 접속하는 애플리케이션을 실행하고 있었습니다.
그런데 로컬에서 Eclipse로 실행하면 잘 되는데, 우분투서버 터미널에서는 오류 발생!
이유는 아주 간단했습니다:

💡 Eclipse는 자체적으로 더 최신의 인증서를 신뢰할 수 있게 설정되어 있었고,
터미널의 Java는 신뢰 저장소(truststore)에 인증서가 없었던 것입니다.

🔑 해결 방법은?

🔹 1. 서버 인증서를 추출

openssl s_client -showcerts -connect example.com </dev/null > xxx_cert.pem

🔹 2. Java truststore에 인증서 등록

keytool -importcert -alias xxx_cert \ -keystore /home/truststore/mytruststore.jks \ -file xxx_cert.pem \ -storepass changeit

🔹 3. Java 실행 시 truststore 지정

java \ -Djavax.net.ssl.trustStore=/home/truststore/mytruststore.jks \ -Djavax.net.ssl.trustStorePassword=changeit \ -classpath ... \ com.xxx.MyApp

📎 그리고 추가로...

Amazon S3 같은 서버는 인증서 체인이 길어서,
openssl s_client -showcerts 명령으로 전체 체인을 받아
여러 개의 .crt 파일로 분리해 모두 truststore에 넣어야 했습니다.
 

🛠 해결 방법 (추가 인증서 등록)

🔹 1. S3 서버의 전체 인증서 체인 다운로드

openssl s_client -showcerts -connect example.s3.xxx.amazon.com </dev/null > s3_chain.pem

🔹 2. 인증서 분리

csplit -sz -f s3_cert_ s3_chain.pem '/-----BEGIN CERTIFICATE-----/' '{*}'

그럼 다음과 같이 s3_cert_00, s3_cert_01 … 식으로 파일이 생성됩니다.

-rw-r--r-- 1 root root  136 Apr 11 09:13 s3_cert_00
-rw-r--r-- 1 root root 3024 Apr 11 09:13 s3_cert_01
-rw-r--r-- 1 root root 1756 Apr 11 09:13 s3_cert_02
-rw-r--r-- 1 root root 1878 Apr 11 09:13 s3_cert_03
-rw-r--r-- 1 root root 2165 Apr 11 09:13 s3_cert_04
-rw-r--r-- 1 root root 8959 Apr 11 09:13 s3_chain.pem

 
 
🔹 3. truststore에 각 인증서 등록

keytool -importcert -alias s3_cert_00 -keystore /home/truststore/mytruststore.jks -file s3_cert_00 -storepass changeit -noprompt
keytool -importcert -alias s3_cert_01 -keystore /home/truststore/mytruststore.jks -file s3_cert_01 -storepass changeit -noprompt
keytool -importcert -alias s3_cert_02 -keystore /home/truststore/mytruststore.jks -file s3_cert_02 -storepass changeit -noprompt
keytool -importcert -alias s3_cert_03 -keystore /home/truststore/mytruststore.jks -file s3_cert_03 -storepass changeit -noprompt
keytool -importcert -alias s3_cert_04 -keystore /home/truststore/mytruststore.jks -file s3_cert_04 -storepass changeit -noprompt

 
 
✅ 등록 확인해 볼수도 있습니다.

keytool -list -keystore /home/truststore/mytruststore.jks -storepass changeit | grep s3_cert_

결과 예시..
s3_cert_01, Apr 11, 2025, trustedCertEntry, 
s3_cert_02, Apr 11, 2025, trustedCertEntry, 
s3_cert_03, Apr 11, 2025, trustedCertEntry, 
s3_cert_04, Apr 11, 2025, trustedCertEntry,

 
 
 
🔹 4. 다시 실행

java \ -Djavax.net.ssl.trustStore=/home/truststore/mytruststore.jks \ -Djavax.net.ssl.trustStorePassword=changeit \ -classpath ... \ com.xxx.MyApp

✅ 요약