在mina中实现TSL/SSL双向认证连接(1)

本文介绍如何在 Mina 中实现 TSL/SSL 双向认证连接的第一种方法:Server 和 Client 各自拥有自签名的私钥证书,并通过重写 X509TrustManager 接口的方法来验证证书。

摘要生成于 C知道 ,由 DeepSeek-R1 满血版支持, 前往体验 >

本文需要读者对mina和SSl原理有一定的了解,所以本文中对mina和SSL的原理,不做详细的介绍。

TSL/SSL双向认证连接:Server端和Client端通信,需要进行授权和身份的验证,即Client只能接受Server的消息,Server只能接受Client的消息。这样就可以在客户机和服务器之间通过TCP/IP协议安全地传输数据。

在mina中实现TSL/SSL双向认证连接,本人目前所知有三种方式:
1.Server端和Client端各自拥有自签名的私有密钥证书,重写的 javax.net.ssl.X509TrustManager接口中的三个方法实现Server端和Client端信认证书。
2.Server端和Client端各自拥有自签名的私有密钥证书,并且互相交换公钥,通过对方公钥互相信认对方证书。
3.Server端和Client端各自拥有可信认的第三方认证机构(CA)签名私有密钥证书,通过CA互相信认对方证书。
以上三种方式,实现复杂度从低到高,灵活度安全性也从低到高。本系列文章将将会从简到难分别介绍三种方式的TSL/SSL双向认证连接。

下面我们介绍第一种实现方式:Server端和Client端各自拥有自签名的私有密钥证书,重写的 javax.net.ssl.X509TrustManager接口中的三个方法实现Server端和Client端信认证书。

首先,创建Server端和Client端各自的私有密钥证书,在这里使用keytool,关于keytool的使用在这里不作详细介绍,请参考它处。

1.创建Server端KeyStore文件serverKeys.jks,包含一个用于服务器的证书 :
[quote]keytool -genkey -alias server -keysize 1024 -validity 3650 -keyalg RSA -dname "CN=sundoctor.com, OU=Developer,O=Techstar, L=Beijing, S=Beijing, C=CH" -keypass 123456 -storepass 123456 -keystore serverKeys.jks[/quote]

2.创建Client端KeyStore文件clientKeys.jks,分别包含用于虚构的通信者 Alice 和 Bob 的证书 :
[quote]keytool -genkey -alias alice -keysize 1024 -validity 3650 -keyalg RSA -dname "CN=Aclie, OU=Developer,O=Techstar, L=Beijing, S=Beijing, C=CH" -keypass 123456 -storepass 123456 -keystore clientKeys.jks

keytool -genkey -alias bob -keysize 1024 -validity 3650 -keyalg RSA -dname "CN=Bob, OU=Developer,O=Techstar, L=Beijing, S=Beijing, C=CH" -keypass 123456 -storepass 123456 -keystore clientKeys.jks[/quote]

其次重写的 javax.net.ssl.X509TrustManager接口中的三个方法实现Server端和Client端信认证书,代码中BogusTrustManagerFactory类有关X509TrustManager实现的片断,具体参考源码
	static final X509TrustManager X509 = new X509TrustManager() {

/**
* 确认和信任将其用于基于身份验证类型的客户端 SSL 身份验证
*/
public void checkClientTrusted(X509Certificate[] x509Certificates, String s) throws CertificateException {

if (x509Certificates == null || x509Certificates.length == 0)
throw new IllegalArgumentException("null or zero-length certificate chain");
if (s == null || s.length() == 0)
throw new IllegalArgumentException("null or zero-length authentication type");

boolean br = false;
Principal principal = null;
for (X509Certificate x509Certificate : x509Certificates) {
principal = x509Certificate.getSubjectDN();
if (principal != null && (StringUtils.contains(principal.getName(), "Alice") || StringUtils.contains(principal.getName(), "Bob"))) {
br = true;
return;
}
}

if (!br) {
throw new CertificateException("连接认证失败!");
}
}

/**
* 确认和信任将其用于基于身份验证类型的服务器 SSL 身份验证
*/
public void checkServerTrusted(X509Certificate[] x509Certificates, String s) throws CertificateException {
if (x509Certificates == null || x509Certificates.length == 0)
throw new IllegalArgumentException("null or zero-length certificate chain");
if (s == null || s.length() == 0)
throw new IllegalArgumentException("null or zero-length authentication type");

boolean br = false;
Principal principal = null;
for (X509Certificate x509Certificate : x509Certificates) {
principal = x509Certificate.getSubjectDN();
if (principal != null && (StringUtils.contains(principal.getName(), "sundoctor.com"))) {
br = true;
return;
}
}

if (!br) {
throw new CertificateException("连接认证失败!");
}
}

public X509Certificate[] getAcceptedIssuers() {
return new X509Certificate[0];
}
};

在这里checkClientTrusted(X509Certificate[] x509Certificates, String s)验证客户端证书,在这里只是简单的验证一下客户端证书CN是否为Alice或Bob, checkServerTrusted(X509Certificate[] x509Certificates, String s)验证服务端证书,这里只是简单的验证一下服务端的CN是否为sundoctor.com。更复杂的验证,大家可以自行实现。

最后是创建服务端和客户端SSLContext工厂类,分别初始化服务端和客户端的SSLContext
// Initialize the SSLContext to work with our key managers.
SSLContext sslContext = SSLContext.getInstance(PROTOCOL);
sslContext.init(getKeyManagers(serverKeys, serverKeysPassword), BogusTrustManagerFactory.X509_MANAGERS, null);

初始化SSLContext需要KeyManagers和TrustManager,TrustManager参见BogusTrustManagerFactory,使用serverKeys.jks、clientKeys.jks分别构建服务端和客户端KeyManagers
	private static KeyManager[] getKeyManagers(String keysfile, String password) throws GeneralSecurityException,
IOException {

// First, get the default KeyManagerFactory.
KeyManagerFactory kmf = KeyManagerFactory.getInstance(KEY_MANAGER_FACTORY_ALGORITHM);

// Next, set up the TrustStore to use. We need to load the file into
// a KeyStore instance.
KeyStore ks = KeyStore.getInstance("JKS");
InputStream in = BogusSslContextFactory.class.getResourceAsStream(keysfile);
ks.load(in, password.toCharArray());
in.close();

// Now we initialise the KeyManagerFactory with this KeyStore
kmf.init(ks, password.toCharArray());

// And now get the TrustManagers
return kmf.getKeyManagers();
}


服务端(TLSServer)和客户端(TLSClient)测试代码比较简单,具体请参考源码,在这里有一点需要注意的就是在服务端添加加密过滤器 SslFilter时必须设置为:sslFilter.setNeedClientAuth(true),需要验证客户端证书。

源码中还包括了一个spring版本的TLSServerSpring、TSLClientSpring服务端、客户端测试类。
评论 1
添加红包

请填写红包祝福语或标题

红包个数最小为10个

红包金额最低5元

当前余额3.43前往充值 >
需支付:10.00
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明:

1.余额是钱包充值的虚拟货币,按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载,可以购买VIP、付费专栏及课程。

余额充值