浏览 4325 次
精华帖 (0) :: 良好帖 (0) :: 新手帖 (0) :: 隐藏帖 (0)
|
|
---|---|
作者 | 正文 |
发表时间:2010-01-25
最后修改:2010-01-25
TSL/SSL双向认证连接:Server端和Client端通信,需要进行授权和身份的验证,即Client只能接受Server的消息,Server只能接受Client的消息。这样就可以在客户机和服务器之间通过TCP/IP协议安全地传输数据。 在mina中实现TSL/SSL双向认证连接,本人目前所知有三种方式: 1.Server端和Client端各自拥有自签名的私有密钥证书,重写的 javax.net.ssl.X509TrustManager接口中的三个方法实现Server端和Client端信认证书。 2.Server端和Client端各自拥有自签名的私有密钥证书,并且互相交换公钥,通过对方公钥互相信认对方证书。 3.Server端和Client端各自拥有可信认的第三方认证机构(CA)签名私有密钥证书,通过CA互相信认对方证书。 以上三种方式,实现复杂度从低到高,灵活度安全性也从低到高。本系列文章将将会从简到难分别介绍三种方式的TSL/SSL双向认证连接。 下面我们介绍第一种实现方式:Server端和Client端各自拥有自签名的私有密钥证书,重写的 javax.net.ssl.X509TrustManager接口中的三个方法实现Server端和Client端信认证书。 首先,创建Server端和Client端各自的私有密钥证书,在这里使用keytool,关于keytool的使用在这里不作详细介绍,请参考它处。 1.创建Server端KeyStore文件serverKeys.jks,包含一个用于服务器的证书 : 引用 keytool -genkey -alias server -keysize 1024 -validity 3650 -keyalg RSA -dname "CN=sundoctor.com, OU=Developer,O=Techstar, L=Beijing, S=Beijing, C=CH" -keypass 123456 -storepass 123456 -keystore serverKeys.jks
2.创建Client端KeyStore文件clientKeys.jks,分别包含用于虚构的通信者 Alice 和 Bob 的证书 : 引用 keytool -genkey -alias alice -keysize 1024 -validity 3650 -keyalg RSA -dname "CN=Aclie, OU=Developer,O=Techstar, L=Beijing, S=Beijing, C=CH" -keypass 123456 -storepass 123456 -keystore clientKeys.jks
keytool -genkey -alias bob -keysize 1024 -validity 3650 -keyalg RSA -dname "CN=Bob, OU=Developer,O=Techstar, L=Beijing, S=Beijing, C=CH" -keypass 123456 -storepass 123456 -keystore clientKeys.jks 其次重写的 javax.net.ssl.X509TrustManager接口中的三个方法实现Server端和Client端信认证书,代码中BogusTrustManagerFactory类有关X509TrustManager实现的片断,具体参考源码 static final X509TrustManager X509 = new X509TrustManager() { /** * 确认和信任将其用于基于身份验证类型的客户端 SSL 身份验证 */ public void checkClientTrusted(X509Certificate[] x509Certificates, String s) throws CertificateException { if (x509Certificates == null || x509Certificates.length == 0) throw new IllegalArgumentException("null or zero-length certificate chain"); if (s == null || s.length() == 0) throw new IllegalArgumentException("null or zero-length authentication type"); boolean br = false; Principal principal = null; for (X509Certificate x509Certificate : x509Certificates) { principal = x509Certificate.getSubjectDN(); if (principal != null && (StringUtils.contains(principal.getName(), "Alice") || StringUtils.contains(principal.getName(), "Bob"))) { br = true; return; } } if (!br) { throw new CertificateException("连接认证失败!"); } } /** * 确认和信任将其用于基于身份验证类型的服务器 SSL 身份验证 */ public void checkServerTrusted(X509Certificate[] x509Certificates, String s) throws CertificateException { if (x509Certificates == null || x509Certificates.length == 0) throw new IllegalArgumentException("null or zero-length certificate chain"); if (s == null || s.length() == 0) throw new IllegalArgumentException("null or zero-length authentication type"); boolean br = false; Principal principal = null; for (X509Certificate x509Certificate : x509Certificates) { principal = x509Certificate.getSubjectDN(); if (principal != null && (StringUtils.contains(principal.getName(), "sundoctor.com"))) { br = true; return; } } if (!br) { throw new CertificateException("连接认证失败!"); } } public X509Certificate[] getAcceptedIssuers() { return new X509Certificate[0]; } }; 在这里checkClientTrusted(X509Certificate[] x509Certificates, String s)验证客户端证书,在这里只是简单的验证一下客户端证书CN是否为Alice或Bob, checkServerTrusted(X509Certificate[] x509Certificates, String s)验证服务端证书,这里只是简单的验证一下服务端的CN是否为sundoctor.com。更复杂的验证,大家可以自行实现。 最后是创建服务端和客户端SSLContext工厂类,分别初始化服务端和客户端的SSLContext // Initialize the SSLContext to work with our key managers. SSLContext sslContext = SSLContext.getInstance(PROTOCOL); sslContext.init(getKeyManagers(serverKeys, serverKeysPassword), BogusTrustManagerFactory.X509_MANAGERS, null); 初始化SSLContext需要KeyManagers和TrustManager,TrustManager参见BogusTrustManagerFactory,使用serverKeys.jks、clientKeys.jks分别构建服务端和客户端KeyManagers private static KeyManager[] getKeyManagers(String keysfile, String password) throws GeneralSecurityException, IOException { // First, get the default KeyManagerFactory. KeyManagerFactory kmf = KeyManagerFactory.getInstance(KEY_MANAGER_FACTORY_ALGORITHM); // Next, set up the TrustStore to use. We need to load the file into // a KeyStore instance. KeyStore ks = KeyStore.getInstance("JKS"); InputStream in = BogusSslContextFactory.class.getResourceAsStream(keysfile); ks.load(in, password.toCharArray()); in.close(); // Now we initialise the KeyManagerFactory with this KeyStore kmf.init(ks, password.toCharArray()); // And now get the TrustManagers return kmf.getKeyManagers(); } 服务端(TLSServer)和客户端(TLSClient)测试代码比较简单,具体请参考源码,在这里有一点需要注意的就是在服务端添加加密过滤器 SslFilter时必须设置为:sslFilter.setNeedClientAuth(true),需要验证客户端证书。 源码中还包括了一个spring版本的TLSServerSpring、TSLClientSpring服务端、客户端测试类。 声明:ITeye文章版权属于作者,受法律保护。没有作者书面许可不得转载。
推荐链接
|
|
返回顶楼 | |