HTTPS安全通讯 5. Java 使用JSSE实现SSL/TLS安全协议
- 一、简介
- 1.1.1 证书产生方式
- 1.1.2 密钥存储格式转换说明
- 1.1.3 keytool导入 pkcs#12文件
- 1.1.4 Java 相关接口与类图
- 1.1.5 单向认证与双向认证
- 2. 核心类
- 1.2.1 `SSLSocket`和`SSLServerSocket`
- 1.2.2 `SSLSocketFactory` 和 `SSLServerSocketFactory`
- 1.2.3 `SSLSession`
- 1.2.4 `SSLContext`
- 1.2.5 `SSLEngine`
- 1.2.6 `KeyManager`
- 1.2.7 `TrustManager`
- 1.2.8 `KeyStore`
一、简介
JSSE包含了实现Internet安全通信的一系列包的集合，是SSL和TLS的纯Java实现。用JSSE可以像使用普通的套接字一样使用安全套接字。
1. 一些概念
1.1.1 证书产生方式
证书会描述所有者的一些基本信息，如公司名称、联系人等。证书由所有人以密码形式签名。获取方式一般两个：
- 权威机构购买证书
- 自己用JDK的keytool创建自我签名的证书。这种情况下一般为了防止数据被篡改，身份认证不是主要目的。
1.1.2 密钥存储格式转换说明
1.1.3 keytool导入 pkcs#12文件
PKCS#12可包含所有私钥、公钥和证书。其以二进制格式存储，也称为 PFX 文件。
pfx文件可以直接作为一个keystore使用，如果报告错误：
java.io.IOException: failed to decrypt safe contents entry 可以通过OpenSSL转换一下：
openssl pkcs12 -in a.pfx -out a.pem
openssl pkcs12 -export -in a.pem -out a1.pfx
keytool -rfc -list -keystore a1.pfx -storetype pkcs12
1.1.4 Java 相关接口与类图
1.1.5 单向认证与双向认证
很多情况下客户端要对服务器端的身份进行验证，但是无需向服务器证实自己的身份，这样不用向对方证实自己身份的通信端就说它处于客户端模式，否则它处理服务器模式。
SSLSocket.setUseClientMode(Boolean mode)用于设置客户端模式或服务器端模式。
2. 核心类
1.2.1 SSLSocket和SSLServerSocket
对应socket通讯的就是Socket与ServerSocket，只是表示实现了SSL协议的Socket和ServerSocket，同时它们也是Socket与ServerSocket子类。
SSLSocket包含：
- 设置加密套件
- 管理SSL会话
- 处理握手结束时间
- 设置客户端模式或服务器模式
1.2.2 SSLSocketFactory 和 SSLServerSocketFactory
客户端与服务端Socket工厂，用于生产出需要的实例。
SSLSocket和SSLServerSocket对象的创建工作也是给这两个工厂类。
1.2.3 SSLSession
SSL 会话。为了提高通信的效率，SSL协议允许多个SSLSocket共享同一个SSL会话。在同一个会话中，只有第一个打开的SSLSocket需要进行SSL握手，负责生成密钥和交换密钥，其余SSLSocket都共享密钥信息。
1.2.4 SSLContext
SSL上下文。是对整个SSL/TLS协议的封装，表示了安全套接字协议的实现，主要负责设置安全通信过程中的各种信息，如和证书相关的信息，并且负责构建SSLSocketFactory、SSLServerSocketFactory和SSLEngine等工厂类。
1.2.5 SSLEngine
SSL非阻塞引擎。如果要进行NIO通信，使用这个类让通信过程支持非阻塞的安全通信。
1.2.6 KeyManager
密钥管理器。此接口负责选择用于证实自己身份的安全证书，发给通信的另一方。KeyManager对象由KeyManagerFactory工厂类生成。
1.2.7 TrustManager
信任管理器，负责判断决定是否信任对方的安全证书。TrustManager对象由TrustManagerFactory工厂类生成。
1.2.8 KeyStore
用于存放安全证书，一般以文件形式存放，KeyStore负责将证书加载到内存。注意默认情况下KeyStore只加载JKS类型证书，现在keytool默认生成的证书是pkcs12格式，KeyStore加载会提示invalid KeyStore format。
二、 keytool命令行参数
生成p12证书
keytool -genkey -alias myServer -keysize 1024 -validity 3650 -keyalg RSA -dname "CN=localhost" -keypass keypass密码 -storepass sotrepss密码 -keystore myServerCerts.jks
- genkey：生成一对非对称密钥
- keyalg : 加密算法
- keystore : 证书存放路径
- alias ： 密钥对别名，这个别名是公开的
# 创建服务端秘钥
keytool -genkey -alias nettyServer -keysize 1024 -validity 36500 -keyalg RSA -dname "CN=localhost" -keypass syourkeypass -storepass syourstorepass -keystore serverCerts.jks
新的keytool这里会直接生成pkcs12格式，通过 keytool -list -keystore file.jks 可以看到证书格式。 可以使用下面命令将pkcs12转jks
keytool -v -importkeystore -srckeystore serverCerts.p12 -srcstoretype PKCS12 -destkeystore serverCerts.jks -deststoretype JKS
# 导出服务端秘钥
keytool -export -alias nettyServer -keystore serverCerts.jks -storepass syourstorepass -file serverCert.cer
# 创建客户端秘钥
keytool -genkey -alias nettyClient -keysize 1024 -validity 36500 -keyalg RSA -dname "CN=PF,OU=YJC,O=YJC,L=BJ,S=BJ,C=ZN" -keypass ckeypass -storepass cstorepass -keystore clientCerts.jks
# 导出客户端秘钥
keytool -export -alias nettyClient -keystore clientCerts.jks -file nettyclientCert.cer -storepass cstorepass
# 将客户端的证书导入到服务端的信任证书仓库中
keytool -import -trustcacerts -alias smccServer -file nettyClientCert.cer -storepass storepass -keystore serverCerts.jks
# 将服务端的证书导入到客户端的信任证书仓库中
keytool -import -trustcacerts -alias smccClient -file serverCert.cer -storepass cstorepass -keystore clientCerts.jks
# 查看jks
keytool -list -keystore file.jks
# 打印数字证书
Keytool -printcert -file filename.cer
三、Java实现核心代码
下面是加密证书和验证证书的核心代码：
public class Auth {
private static SSLContext sslContext;
public static SSLContext getSSLContext() throws Exception{
Properties p = Configuration.getConfig();
String protocol = p.getProperty("protocol");
String serverCer = p.getProperty("serverCer");
String serverCerPwd = p.getProperty("serverCerPwd");
String serverKeyPwd = p.getProperty("serverKeyPwd");
// Key Stroe
KeyStore keyStore = KeyStore.getInstance("JKS");
FileInputStream f =new FileInputStream(serverCer);
keyStore.load(f, serverCerPwd.toCharArray());
KeyManagerFactory keyManagerFactory = KeyManagerFactory.getInstance("SunX509");
keyManagerFactory.init(keyStore, serverKeyPwd.toCharArray());
KeyManager[] kms = keyManagerFactory.getKeyManagers();
TrustManager[] tms = null;
if("2".equals(Configuration.getConfig().getProperty("authority"))){
String serverTrustCer = p.getProperty("serverTrustCer");
String serverTrustCerPwd = p.getProperty("serverTrustCerPwd");
//Trust Key Store
keyStore = KeyStore.getInstance("JKS");
keyStore.load(new FileInputStream(serverTrustCer), serverTrustCerPwd.toCharArray());
TrustManagerFactory trustManagerFactory = TrustManagerFactory.getInstance("SunX509");
trustManagerFactory.init(keyStore);
tms = trustManagerFactory.getTrustManagers();
}
sslContext = SSLContext.getInstance(protocol);
sslContext.init(kms, tms, null);
return sslContext;
}
}
源码： https://gitee.com/xundh/JSSE_SSL_DEMO
参考文章：
http://www.jeepxie.net/article/855158.html
