// множество промежуточных сертификатов
Set<X509Certificate> certs = new HashSet<>();
certs.add(...);

// общее хранилище с корневыми сертификатами для построения цепочки сертификатов не только сервера, но и клиентской стороны
KeyStore trustStore = KeyStore.getInstance(...);
trustStoreForClient.load(...);

List<CertStore> certStores = new ArrayList<>(1);
certStores.add(CertStore.getInstance("Collection", new CollectionCertStoreParameters(certs)));

PKIXBuilderParameters parameters = new PKIXBuilderParameters(trustStore, new X509CertSelector());

parameters.setRevocationEnabled(false); // можно отключить проверку цепочки клиента
parameters.setCertStores(certStores);

TrustManagerFactory tmf = TrustManagerFactory.getInstance(...);
tmf.init(trustStore); // trustStore для построения цепочки сервера

// ключевой контейнер в случае клиентской аутентификации
KeyStore keyStore = KeyStore.getInstance(...);
keyStore.load(...);

// параметры для построения цепочки клиента перед установлением соединения
JavaTLSCertPathManagerParameters managerParameters = new JavaTLSCertPathManagerParameters(keyStore, keyPassword);
managerParameters.setParameters(parameters);

KeyManagerFactory kmf = KeyManagerFactory.getInstance(...);
kmf.init(managerParameters); // может бросить исключение

SSLContext sslContext = SSLContext.getInstance(...);
sslContext.init(sslConfig.kmf.getKeyManagers(), sslConfig.tmf.getTrustManagers(), null);

KeyStore keyStore = KeyStore.getInstance(...);
keyStore.load(new StoreInputStream(keyAlias), null);

java -Dru.CryptoPro.ssl.useExtendedMasterSecret=false ...

System.setProperty("ru.CryptoPro.ssl.useExtendedMasterSecret", "false");

        KeyStore trustStore = KeyStore.getInstance(JCP.HD_STORE_NAME, JCP.PROVIDER_NAME);
        trustStore.load(new FileInputStream(okbCryptoProperties.getTrustStore().getPath()), okbCryptoProperties.getTrustStore().getPassword().toCharArray());
        TrustManagerFactory tmf = TrustManagerFactory.getInstance(Provider.KEYMANGER_ALG, Provider.PROVIDER_NAME);

        tmf.init(trustStore);

        HDImageStore.setDir(okbCryptoProperties.getPrivateContainer().getPath());
        KeyManagerFactory kmf = KeyManagerFactory.getInstance(Provider.KEYMANGER_ALG, Provider.PROVIDER_NAME);
        KeyStore keyStore = KeyStore.getInstance(JCP.HD_STORE_NAME);
        keyStore.load(null, null);
        kmf.init(keyStore, null);

        SSLContext context = SSLContext.getInstance(Provider.ALGORITHM_12); // протокол GostTLSv1.2 - TLS v.1.2, GostTLSv1.1, GostTLS
        context.init(kmf.getKeyManagers(), tmf.getTrustManagers(), SecureRandom.getInstance("CPRandom", JCP.PROVIDER_NAME));