Java实现SSL双向认证的方法

谁践踏了优雅 2022-05-10 03:14 229阅读 0赞

本文实例讲述了Java实现SSL双向认证的方法。分享给大家供大家参考，具体如下：

我们常见的SSL验证较多的只是验证我们的服务器是否是真实正确的，当然如果你访问的URL压根就错了，那谁也没有办法。这个就是所谓的SSL单向认证。

但是实际中，我们有可能还会验证客户端是否符合要求，也就是给我们每个用户颁发一个证书，比且每个数字证书都是唯一的，不公开的。这样就能通过这个数字证书保证当前访问我服务器的这个用户是经过服务器认可的，其他人不可访问。

双向认证 从第一个层面上 确保了服务器 与客户端 都是互相认可的。那么他们之间要进行通信，就会在通信协议上附加SSL协议，确保通信的内容是加密的，即使是sniffer这样的网络嗅探工具看到的都是乱码。以后给大家演示下不加密的情况下，用sniffer看到的是什么。恐怕这样你就能提高警惕了。

以下内容从网络上摘抄 加以实际验证后修改的。

**模拟场景：**

Server端和Client端通信，需要进行授权和身份的验证，即Client只能接受Server的消息，Server只能接受Client的消息。

**实现技术：**

JSSE（Java Security Socket Extension）

是Sun为了解决在Internet上的安全通讯而推出的解决方案。它实现了SSL和TSL（传输层安全）协议。在JSSE中包含了数据加密，服务器验证，消息完整性和客户端验证等技术。通过使用JSSE，开发人员可以在客户机和服务器之间通过TCP/IP协议安全地传输数据。

为了实现消息认证。

Server需要：

1）KeyStore: 其中保存服务端的私钥  
2）Trust KeyStore:其中保存客户端的授权证书

同样，Client需要：

1）KeyStore：其中保存客户端的私钥  
2）Trust KeyStore：其中保存服务端的授权证书  
在这里我还是推荐使用Java自带的keytool命令，去生成这样信息文件。当然目前非常流行的开源的生成SSL证书的还有OpenSSL。OpenSSL用C语言编写，跨系统。但是我们可能在以后的过程中用java程序生成证书的方便性考虑，还是用JDK自带的keytool。

1）生成服务端私钥，并且导入到服务端KeyStore文件中

keytool -genkey -alias serverkey -keystore kserver.keystore  
过程中，分别需要填写，根据需求自己设置就行

keystore密码：123456  
名字和姓氏：jin  
组织单位名称：none  
组织名称：none  
城市或区域名称：BJ  
州或省份名称：BJ  
国家代码：CN

serverkey私钥的密码，不填写和keystore的密码一致。这里千万注意，直接回车就行了，不用修改密码。否则在后面的程序中以及无法直接应用这个私钥，会报错。

就可以生成kserver.keystore文件

server.keystore是给服务端用的，其中保存着自己的私钥

2）根据私钥，导出服务端证书

keytool -export -alias serverkey -keystore kserver.keystore -file server.crt  
server.crt就是服务端的证书

3）将服务端证书，导入到客户端的Trust KeyStore中

keytool -import -alias serverkey -file server.crt -keystore tclient.keystore  
tclient.keystore是给客户端用的，其中保存着受信任的证书

采用同样的方法，生成客户端的私钥，客户端的证书，并且导入到服务端的Trust KeyStore中

1）keytool -genkey -alias clientkey -keystore kclient.keystore  
2）keytool -export -alias clientkey -keystore kclient.keystore -file client.crt  
3）keytool -import -alias clientkey -file client.crt -keystore tserver.keystore

如此一来，生成的文件分成两组

服务端保存：kserver.keystore tserver.keystore  
客户端保存：kclient.keystore  tclient.kyestore

![Java实现SSL双向认证的方法][Java_SSL]

以下是通过Java Socket通信程序来验证我们生成的证书是否可用。

客户端：

package examples.ssl;
    import java.io.BufferedInputStream;
    import java.io.BufferedOutputStream;
    import java.io.FileInputStream;
    import java.io.IOException;
    import java.io.InputStream;
    import java.io.OutputStream;
    import java.security.KeyStore;
    import javax.net.ssl.KeyManagerFactory;
    import javax.net.ssl.SSLContext;
    import javax.net.ssl.SSLSocket;
    import javax.net.ssl.TrustManagerFactory;
    /**
     * SSL Client
     *
     */
    public class SSLClient {
     private static final String DEFAULT_HOST     = "127.0.0.1";
     private static final int DEFAULT_PORT     = 7777;
     private static final String CLIENT_KEY_STORE_PASSWORD  = "123456";
     private static final String CLIENT_TRUST_KEY_STORE_PASSWORD = "123456";
     private SSLSocket   sslSocket;
     /**
      * 启动客户端程序
      *
      * @param args
      */
     public static void main(String[] args) {
      SSLClient client = new SSLClient();
      client.init();
      client.process();
     }
     /**
      * 通过ssl socket与服务端进行连接,并且发送一个消息
      */
     public void process() {
      if (sslSocket == null) {
       System.out.println("ERROR");
       return;
      }
      try {
       InputStream input = sslSocket.getInputStream();
       OutputStream output = sslSocket.getOutputStream();
       BufferedInputStream bis = new BufferedInputStream(input);
       BufferedOutputStream bos = new BufferedOutputStream(output);
       bos.write("Client Message".getBytes());
       bos.flush();
       byte[] buffer = new byte[20];
       bis.read(buffer);
       System.out.println(new String(buffer));
       sslSocket.close();
      } catch (IOException e) {
       System.out.println(e);
      }
     }
     /**
      * <ul>
      * <li>ssl连接的重点:</li>
      * <li>初始化SSLSocket</li>
      * <li>导入客户端私钥KeyStore，导入客户端受信任的KeyStore(服务端的证书)</li>
      * </ul>
      */
     public void init() {
      try {
       SSLContext ctx = SSLContext.getInstance("SSL");
       KeyManagerFactory kmf = KeyManagerFactory.getInstance("SunX509");
       TrustManagerFactory tmf = TrustManagerFactory.getInstance("SunX509");
       KeyStore ks = KeyStore.getInstance("JKS");
       KeyStore tks = KeyStore.getInstance("JKS");
       ks.load(new FileInputStream("E://kclient.keystore"), CLIENT_KEY_STORE_PASSWORD.toCharArray());
       tks.load(new FileInputStream("E://tclient.keystore"), CLIENT_TRUST_KEY_STORE_PASSWORD.toCharArray());
       kmf.init(ks, CLIENT_KEY_STORE_PASSWORD.toCharArray());
       tmf.init(tks);
       ctx.init(kmf.getKeyManagers(), tmf.getTrustManagers(), null);
       sslSocket = (SSLSocket) ctx.getSocketFactory().createSocket(DEFAULT_HOST, DEFAULT_PORT);
      } catch (Exception e) {
       System.out.println(e);
      }
     }
    }

服务器端：

package examples.ssl;
    import java.io.BufferedInputStream;
    import java.io.BufferedOutputStream;
    import java.io.FileInputStream;
    import java.io.InputStream;
    import java.io.OutputStream;
    import java.net.Socket;
    import java.security.KeyStore;
    import javax.net.ssl.KeyManagerFactory;
    import javax.net.ssl.SSLContext;
    import javax.net.ssl.SSLServerSocket;
    import javax.net.ssl.TrustManagerFactory;
    /***********************************************************************************************************************
     * <ul>
     * <li>1)生成服务端私钥</li>
     * <li>keytool -genkey -alias serverkey -keystore kserver.keystore</li>
     * <li>2)根据私钥,到处服务端证书</li>
     * <li>keytool -exoport -alias serverkey -keystore kserver.keystore -file server.crt</li>
     * <li>3)把证书加入到客户端受信任的keystore中</li>
     * <li>keytool -import -alias serverkey -file server.crt -keystore tclient.keystore</li>
     * </ul>
     **********************************************************************************************************************/
    /**
     * SSL Server
     *
     */
    public class SSLServer {
     private static final int DEFAULT_PORT     = 7777;
     private static final String SERVER_KEY_STORE_PASSWORD  = "123456";
     private static final String SERVER_TRUST_KEY_STORE_PASSWORD = "123456";
     private SSLServerSocket  serverSocket;
     /**
      * 启动程序
      *
      * @param args
      */
     public static void main(String[] args) {
      SSLServer server = new SSLServer();
      server.init();
      server.start();
     }
     /**
      * <ul>
      * <li>听SSL Server Socket</li>
      * <li> 由于该程序不是演示Socket监听，所以简单采用单线程形式，并且仅仅接受客户端的消息，并且返回客户端指定消息</li>
      * </ul>
      */
     public void start() {
      if (serverSocket == null) {
       System.out.println("ERROR");
       return;
      }
      while (true) {
       try {
        Socket s = serverSocket.accept();
        InputStream input = s.getInputStream();
        OutputStream output = s.getOutputStream();
        BufferedInputStream bis = new BufferedInputStream(input);
        BufferedOutputStream bos = new BufferedOutputStream(output);
        byte[] buffer = new byte[20];
        bis.read(buffer);
        System.out.println(new String(buffer));
        bos.write("Server Echo".getBytes());
        bos.flush();
        s.close();
       } catch (Exception e) {
        System.out.println(e);
       }
      }
     }
     /**
      * <ul>
      * <li>ssl连接的重点:</li>
      * <li>初始化SSLServerSocket</li>
      * <li>导入服务端私钥KeyStore，导入服务端受信任的KeyStore(客户端的证书)</li>
      * </ul>
      */
     public void init() {
      try {
       SSLContext ctx = SSLContext.getInstance("SSL");
       KeyManagerFactory kmf = KeyManagerFactory.getInstance("SunX509");
       TrustManagerFactory tmf = TrustManagerFactory.getInstance("SunX509");
       KeyStore ks = KeyStore.getInstance("JKS");
       KeyStore tks = KeyStore.getInstance("JKS");
       ks.load(new FileInputStream("E://kserver.keystore"), SERVER_KEY_STORE_PASSWORD.toCharArray());
       tks.load(new FileInputStream("E://tserver.keystore"), SERVER_TRUST_KEY_STORE_PASSWORD.toCharArray());
       kmf.init(ks, SERVER_KEY_STORE_PASSWORD.toCharArray());
       tmf.init(tks);
       ctx.init(kmf.getKeyManagers(), tmf.getTrustManagers(), null);
       serverSocket = (SSLServerSocket) ctx.getServerSocketFactory().createServerSocket(DEFAULT_PORT);
       serverSocket.setNeedClientAuth(true);
      } catch (Exception e) {
       e.printStackTrace();
      }
     }
    }

[Java_SSL]: https://img.ctolib.com/static/img/javaloading.gif