Hi,大家好,我是编程小6,很荣幸遇见你,我把这些年在开发过程中遇到的问题或想法写出来,今天说一说Java程序员使用JSSE实现SSL/TLS安全套接字[亲测有效],希望能够帮助你!!!。
JSSE包含了实现Internet安全通信的一系列包的集合,是SSL和TLS的纯Java实现。用JSSE可以像使用普通的套接字一样使用安全套接字。
证书会描述所有者的一些基本信息,如公司名称、联系人等。证书由所有人以密码形式签名。获取方式一般两个:
PKCS#12可包含所有私钥、公钥和证书。其以二进制格式存储,也称为 PFX 文件。pfx文件可以直接作为一个keystore使用,如果报告错误:java.io.IOException: failed to decrypt safe contents entry可以通过OpenSSL转换一下:
openssl pkcs12 -in a.pfx -out a.pem
openssl pkcs12 -export -in a.pem -out a1.pfx
keytool -rfc -list -keystore a1.pfx -storetype pkcs12
很多情况下客户端要对服务器端的身份进行验证,但是无需向服务器证实自己的身份,这样不用向对方证实自己身份的通信端就说它处于客户端模式,否则它处理服务器模式。SSLSocket.setUseClientMode(Boolean mode)用于设置客户端模式或服务器端模式。
对应socket通讯的就是Socket与ServerSocket,只是表示实现了SSL协议的Socket和ServerSocket,同时它们也是Socket与ServerSocket子类。SSLSocket包含:
客户端与服务端Socket工厂,用于生产出需要的实例。SSLSocket和SSLServerSocket对象的创建工作也是给这两个工厂类。
SSL 会话。为了提高通信的效率,SSL协议允许多个SSLSocket共享同一个SSL会话。在同一个会话中,只有第一个打开的SSLSocket需要进行SSL握手,负责生成密钥和交换密钥,其余SSLSocket都共享密钥信息。
SSL上下文。是对整个SSL/TLS协议的封装,表示了安全套接字协议的实现,主要负责设置安全通信过程中的各种信息,如和证书相关的信息,并且负责构建SSLSocketFactory、SSLServerSocketFactory和SSLEngine等工厂类。
SSL非阻塞引擎。如果要进行NIO通信,使用这个类让通信过程支持非阻塞的安全通信。
密钥管理器。此接口负责选择用于证实自己身份的安全证书,发给通信的另一方。KeyManager对象由KeyManagerFactory工厂类生成。
信任管理器,负责判断决定是否信任对方的安全证书。TrustManager对象由TrustManagerFactory工厂类生成。
用于存放安全证书,一般以文件形式存放,KeyStore负责将证书加载到内存。注意默认情况下KeyStore只加载JKS类型证书,现在keytool默认生成的证书是pkcs12格式,KeyStore加载会提示invalid KeyStore format。
生成p12证书
keytool -genkey -alias myServer -keysize 1024 -validity 3650 -keyalg RSA -dname "CN=localhost" -keypass keypass密码 -storepass sotrepss密码 -keystore myServerCerts.jks
# 创建服务端秘钥
keytool -genkey -alias nettyServer -keysize 1024 -validity 36500 -keyalg RSA -dname "CN=localhost" -keypass syourkeypass -storepass syourstorepass -keystore serverCerts.jks
新的keytool这里会直接生成pkcs12格式,通过 keytool -list -keystore file.jks 可以看到证书格式。 可以使用下面命令将pkcs12转jks
keytool -v -importkeystore -srckeystore serverCerts.p12 -srcstoretype PKCS12 -destkeystore serverCerts.jks -deststoretype JKS
# 导出服务端秘钥
keytool -export -alias nettyServer -keystore serverCerts.jks -storepass syourstorepass -file serverCert.cer
# 创建客户端秘钥
keytool -genkey -alias nettyClient -keysize 1024 -validity 36500 -keyalg RSA -dname "CN=PF,OU=YJC,O=YJC,L=BJ,S=BJ,C=ZN" -keypass ckeypass -storepass cstorepass -keystore clientCerts.jks
# 导出客户端秘钥
keytool -export -alias nettyClient -keystore clientCerts.jks -file nettyclientCert.cer -storepass cstorepass
# 将客户端的证书导入到服务端的信任证书仓库中
keytool -import -trustcacerts -alias smccServer -file nettyClientCert.cer -storepass storepass -keystore serverCerts.jks
# 将服务端的证书导入到客户端的信任证书仓库中
keytool -import -trustcacerts -alias smccClient -file serverCert.cer -storepass cstorepass -keystore clientCerts.jks
# 查看jks
keytool -list -keystore file.jks
# 打印数字证书
Keytool -printcert -file filename.cer
下面是加密证书和验证证书的核心代码(源代码放在码云上了,有需要的同学可以发私信):
public class Auth {
private static SSLContext sslContext;
public static SSLContext getSSLContext() throws Exception{
Properties p = Configuration.getConfig();
String protocol = p.getProperty("protocol");
String serverCer = p.getProperty("serverCer");
String serverCerPwd = p.getProperty("serverCerPwd");
String serverKeyPwd = p.getProperty("serverKeyPwd");
// Key Stroe
KeyStore keyStore = KeyStore.getInstance("JKS");
FileInputStream f =new FileInputStream(serverCer);
keyStore.load(f, serverCerPwd.toCharArray());
KeyManagerFactory keyManagerFactory = KeyManagerFactory.getInstance("SunX509");
keyManagerFactory.init(keyStore, serverKeyPwd.toCharArray());
KeyManager[] kms = keyManagerFactory.getKeyManagers();
TrustManager[] tms = null;
if("2".equals(Configuration.getConfig().getProperty("authority"))){
String serverTrustCer = p.getProperty("serverTrustCer");
String serverTrustCerPwd = p.getProperty("serverTrustCerPwd");
//Trust Key Store
keyStore = KeyStore.getInstance("JKS");
keyStore.load(new FileInputStream(serverTrustCer), serverTrustCerPwd.toCharArray());
TrustManagerFactory trustManagerFactory = TrustManagerFactory.getInstance("SunX509");
trustManagerFactory.init(keyStore);
tms = trustManagerFactory.getTrustManagers();
}
sslContext = SSLContext.getInstance(protocol);
sslContext.init(kms, tms, null);
return sslContext;
}
}