Java加密技术（十）

小鱼儿 2022-06-18 01:52 183阅读 0赞

在**[Java 加密技术（九）][Java]**中，我们使用自签名证书完成了认证。接下来，我们使用第三方CA签名机构完成证书签名。   
    这里我们使用[thawte][]提供的测试用21天免费ca证书。   
    1.要在该网站上注明你的域名，这里使用**www.zlex.org**作为测试用域名（请勿使用该域名作为你的域名地址，该域名受法律保护！请使用其他非注册域名！）。   
    2.如果域名有效，你会收到邮件要求你访问[https://www.thawte.com/cgi/server/try.exe][https_www.thawte.com_cgi_server_try.exe]获得ca证书。   
    3.复述密钥库的创建。

Shell代码   [![收藏代码][icon_star.png]][icon_star.png 1]

1.  keytool -genkey -validity 36000 -alias www.zlex.org -keyalg RSA -keystore d:\\zlex.keystore

在这里我使用的密码为  **123456**   
  
控制台输出：

Console代码   [![收藏代码][icon_star.png]][icon_star.png 1]

1.  输入keystore密码：  
2.  再次输入新密码:  
3.  您的名字与姓氏是什么？  
4.    \[Unknown\]：  www.zlex.org  
5.  您的组织单位名称是什么？  
6.    \[Unknown\]：  zlex  
7.  您的组织名称是什么？  
8.    \[Unknown\]：  zlex  
9.  您所在的城市或区域名称是什么？  
10.   \[Unknown\]：  BJ  
11. 您所在的州或省份名称是什么？  
12.   \[Unknown\]：  BJ  
13. 该单位的两字母国家代码是什么  
14.   \[Unknown\]：  CN  
15. CN=www.zlex.org, OU=zlex, O=zlex, L=BJ, ST=BJ, C=CN 正确吗？  
16.   \[否\]：  Y  
17.   
18. 输入<tomcat>的主密码  
19.         （如果和 keystore 密码相同，按回车）：  
20. 再次输入新密码:

4.通过如下命令，从zlex.keystore中导出CA证书申请。

Shell代码   [![收藏代码][icon_star.png]][icon_star.png 1]

1.  keytool -certreq -alias www.zlex.org -file d:\\zlex.csr -keystore d:\\zlex.keystore -v

你会获得zlex.csr文件，可以用记事本打开，内容如下格式：

Text代码   [![收藏代码][icon_star.png]][icon_star.png 1]

1.  \-----BEGIN NEW CERTIFICATE REQUEST-----  
2.  MIIBnDCCAQUCAQAwXDELMAkGA1UEBhMCQ04xCzAJBgNVBAgTAkJKMQswCQYDVQQHEwJCSjENMAsG  
3.  A1UEChMEemxleDENMAsGA1UECxMEemxleDEVMBMGA1UEAxMMd3d3LnpsZXgub3JnMIGfMA0GCSqG  
4.  SIb3DQEBAQUAA4GNADCBiQKBgQCR6DXU9Mp+mCKO7cv9JPsj0n1Ec/GpM09qvhpgX3FNad/ZWSDc  
5.  vU77YXZSoF9hQp3w1LC+eeKgd2MlVpXTvbVwBNVd2HiQPp37ic6BUUjSaX8LHtCl7l0BIEye9qQ2  
6.  j8G0kak7e8ZA0s7nb3Ymq/K8BV7v0MQIdhIc1bifK9ZDewIDAQABoAAwDQYJKoZIhvcNAQEFBQAD  
7.  gYEAMA1r2fbZPtNx37U9TRwadCH2TZZecwKJS/hskNm6ryPKIAp9APWwAyj8WJHRBz5SpZM4zmYO  
8.  oMCI8BcnY2A4JP+R7/SwXTdH/xcg7NVghd9A2SCgqMpF7KMfc5dE3iygdiPu+UhY200Dvpjx8gmJ  
9.  1UbH3+nqMUyCrZgURFslOUY=  
10. \-----END NEW CERTIFICATE REQUEST-----

5.将上述文件内容拷贝到 [https://www.thawte.com/cgi/server/try.exe][https_www.thawte.com_cgi_server_try.exe]中，点击next，获得回应内容，这里是p7b格式。   
内容如下：

Text代码   [![收藏代码][icon_star.png]][icon_star.png 1]

1.  \-----BEGIN PKCS7-----  
2.  MIIF3AYJKoZIhvcNAQcCoIIFzTCCBckCAQExADALBgkqhkiG9w0BBwGgggWxMIID  
3.  EDCCAnmgAwIBAgIQA/mx/pKoaB+KGX2hveFU9zANBgkqhkiG9w0BAQUFADCBhzEL  
4.  MAkGA1UEBhMCWkExIjAgBgNVBAgTGUZPUiBURVNUSU5HIFBVUlBPU0VTIE9OTFkx  
5.  HTAbBgNVBAoTFFRoYXd0ZSBDZXJ0aWZpY2F0aW9uMRcwFQYDVQQLEw5URVNUIFRF  
6.  U1QgVEVTVDEcMBoGA1UEAxMTVGhhd3RlIFRlc3QgQ0EgUm9vdDAeFw0wOTA1Mjgw  
7.  MDIxMzlaFw0wOTA2MTgwMDIxMzlaMFwxCzAJBgNVBAYTAkNOMQswCQYDVQQIEwJC  
8.  SjELMAkGA1UEBxMCQkoxDTALBgNVBAoTBHpsZXgxDTALBgNVBAsTBHpsZXgxFTAT  
9.  BgNVBAMTDHd3dy56bGV4Lm9yZzCBnzANBgkqhkiG9w0BAQEFAAOBjQAwgYkCgYEA  
10. keg11PTKfpgiju3L/ST7I9J9RHPxqTNPar4aYF9xTWnf2Vkg3L1O+2F2UqBfYUKd  
11. 8NSwvnnioHdjJVaV0721cATVXdh4kD6d+4nOgVFI0ml/Cx7Qpe5dASBMnvakNo/B  
12. tJGpO3vGQNLO5292JqvyvAVe79DECHYSHNW4nyvWQ3sCAwEAAaOBpjCBozAMBgNV  
13. HRMBAf8EAjAAMB0GA1UdJQQWMBQGCCsGAQUFBwMBBggrBgEFBQcDAjBABgNVHR8E  
14. OTA3MDWgM6Axhi9odHRwOi8vY3JsLnRoYXd0ZS5jb20vVGhhd3RlUHJlbWl1bVNl  
15. cnZlckNBLmNybDAyBggrBgEFBQcBAQQmMCQwIgYIKwYBBQUHMAGGFmh0dHA6Ly9v  
16. Y3NwLnRoYXd0ZS5jb20wDQYJKoZIhvcNAQEFBQADgYEATPuxZbtJJSPmXvfrr1yz  
17. xqM06IwTZ6UU0lZRG7I0WufMjNMKdpn8hklUhE17mxAhGSpewLVVeLR7uzBLFkuC  
18. X7wMXxhoYdJZtNai72izU6Rd1oknao7diahvRxPK4IuQ7y2oZ511/4T4vgY6iRAj  
19. q4q76HhPJrVRL/sduaiu+gYwggKZMIICAqADAgECAgEAMA0GCSqGSIb3DQEBBAUA  
20. MIGHMQswCQYDVQQGEwJaQTEiMCAGA1UECBMZRk9SIFRFU1RJTkcgUFVSUE9TRVMg  
21. T05MWTEdMBsGA1UEChMUVGhhd3RlIENlcnRpZmljYXRpb24xFzAVBgNVBAsTDlRF  
22. U1QgVEVTVCBURVNUMRwwGgYDVQQDExNUaGF3dGUgVGVzdCBDQSBSb290MB4XDTk2  
23. MDgwMTAwMDAwMFoXDTIwMTIzMTIxNTk1OVowgYcxCzAJBgNVBAYTAlpBMSIwIAYD  
24. VQQIExlGT1IgVEVTVElORyBQVVJQT1NFUyBPTkxZMR0wGwYDVQQKExRUaGF3dGUg  
25. Q2VydGlmaWNhdGlvbjEXMBUGA1UECxMOVEVTVCBURVNUIFRFU1QxHDAaBgNVBAMT  
26. E1RoYXd0ZSBUZXN0IENBIFJvb3QwgZ8wDQYJKoZIhvcNAQEBBQADgY0AMIGJAoGB  
27. ALV9kG+Os6x/DOhm+tKUQfzVMWGhE95sFmEtkMMTX2Zi4n6i6BvzoReJ5njzt1LF  
28. cqu4EUk9Ji20egKKfmqRzmQFLP7+1niSdfJEUE7cKY40QoI99270PTrLjJeaMcCl  
29. \+AYl+kD+RL5BtuKKU3PurYcsCsre6aTvjMcqpTJOGeSPAgMBAAGjEzARMA8GA1Ud  
30. EwEB/wQFMAMBAf8wDQYJKoZIhvcNAQEEBQADgYEAgozj7BkD9O8si2V0v+EZ/t7E  
31. fz/LC8y6mD7IBUziHy5/53ymGAGLtyhXHvX+UIE6UWbHro3IqVkrmY5uC93Z2Wew  
32. A/6edK3KFUcUikrLeewM7gmqsiASEKx2mKRKlu12jXyNS5tXrPWRDvUKtFC1uL9a  
33. 12rFAQS2BkIk7aU+ghYxAA==  
34. \-----END PKCS7-----

将其存储为zlex.p7b   
    6.将由CA签发的证书导入密钥库。

Shell代码   [![收藏代码][icon_star.png]][icon_star.png 1]

1.  keytool -import -trustcacerts -alias www.zlex.org -file d:\\zlex.p7b -keystore d:\\zlex.keystore -v

在这里我使用的密码为  **123456**   
  
    控制台输出：

Console代码   [![收藏代码][icon_star.png]][icon_star.png 1]

1.  输入keystore密码：  
2.    
3.  回复中的最高级认证：  
4.    
5.  所有者:CN=Thawte Test CA Root, OU=TEST TEST TEST, O=Thawte Certification, ST=FOR  
6.   TESTING PURPOSES ONLY, C=ZA  
7.  签发人:CN=Thawte Test CA Root, OU=TEST TEST TEST, O=Thawte Certification, ST=FOR  
8.   TESTING PURPOSES ONLY, C=ZA  
9.  序列号:0  
10. 有效期: Thu Aug 01 08:00:00 CST 1996 至Fri Jan 01 05:59:59 CST 2021  
11. 证书指纹:  
12.          MD5:5E:E0:0E:1D:17:B7:CA:A5:7D:36:D6:02:DF:4D:26:A4  
13.          SHA1:39:C6:9D:27:AF:DC:EB:47:D6:33:36:6A:B2:05:F1:47:A9:B4:DA:EA  
14.          签名算法名称:MD5withRSA  
15.          版本: 3  
16.   
17. 扩展:  
18.   
19. \#1: ObjectId: 2.5.29.19 Criticality=true  
20. BasicConstraints:\[  
21.   CA:true  
22.   PathLen:2147483647  
23. \]  
24.   
25.   
26. ... 是不可信的。 还是要安装回复？ \[否\]：  Y  
27. 认证回复已安装在 keystore中  
28. \[正在存储 d:\\zlex.keystore\]

7.域名定位   
    将域名www.zlex.org定位到本机上。打开C:\\Windows\\System32\\drivers\\etc\\hosts文件，将www.zlex.org绑定在本机上。在文件末尾追加127.0.0.1       www.zlex.org。现在通过地址栏访问http://www.zlex.org，或者通过ping命令，如果能够定位到本机，域名映射就搞定了。   
  
    8.配置server.xml

Xml代码   [![收藏代码][icon_star.png]][icon_star.png 1]

1.  **<****Connector**  
2.      keystoreFile="conf/zlex.keystore"  
3.      keystorePass="123456"   
4.      truststoreFile="conf/zlex.keystore"      
5.      truststorePass="123456"       
6.      SSLEnabled="true"  
7.      URIEncoding="UTF-8"  
8.      clientAuth="false"            
9.      maxThreads="150"  
10.     port="443"  
11.     protocol="HTTP/1.1"  
12.     scheme="https"  
13.     secure="true"  
14.     sslProtocol="TLS" **/>**

将文件 **zlex.keystore**拷贝到tomcat的 **conf**目录下，重新启动tomcat。访问 [https://www.zlex.org/][https_www.zlex.org]，我们发现联网有些迟钝。大约5秒钟后，网页正常显示，同时有如下图所示：   
![ba0a327e-afd9-35ed-8836-8ec92b72e8cf.jpg][]   
浏览器验证了该CA机构的有效性。   
  
打开证书，如下图所示：   
![dfa22608-e0fc-303e-84c1-c6622c95843a.jpg][]   
  
调整测试类：

Java代码   [![收藏代码][icon_star.png]][icon_star.png 1]

1.  **import** **static** org.junit.Assert.\*;  
2.    
3.  **import** java.io.DataInputStream;  
4.  **import** java.io.InputStream;  
5.  **import** java.net.URL;  
6.    
7.  **import** javax.net.ssl.HttpsURLConnection;  
8.    
9.  **import** org.junit.Test;  
10.   
11. /\*\* 
12.  \*  
13.  \* @author 梁栋 
14.  \* @version 1.0 
15.  \* @since 1.0 
16.  \*/  
17. **public** **class** CertificateCoderTest \{  
18.     **private** String password = "123456";  
19.     **private** String alias = "www.zlex.org";  
20.     **private** String certificatePath = "d:/zlex.cer";  
21.     **private** String keyStorePath = "d:/zlex.keystore";  
22.   
23.     @Test  
24.     **public** **void** test() **throws** Exception \{  
25.         System.err.println("公钥加密——私钥解密");  
26.         String inputStr = "Ceritifcate";  
27.         **byte**\[\] data = inputStr.getBytes();  
28.   
29.         **byte**\[\] encrypt = CertificateCoder.encryptByPublicKey(data,  
30.                 certificatePath);  
31.   
32.         **byte**\[\] decrypt = CertificateCoder.decryptByPrivateKey(encrypt,  
33.                 keyStorePath, alias, password);  
34.         String outputStr = **new** String(decrypt);  
35.   
36.         System.err.println("加密前: " + inputStr + "\\n\\r" + "解密后: " + outputStr);  
37.   
38.         // 验证数据一致  
39.         assertArrayEquals(data, decrypt);  
40.   
41.         // 验证证书有效  
42.         assertTrue(CertificateCoder.verifyCertificate(certificatePath));  
43.   
44.     \}  
45.   
46.     @Test  
47.     **public** **void** testSign() **throws** Exception \{  
48.         System.err.println("私钥加密——公钥解密");  
49.   
50.         String inputStr = "sign";  
51.         **byte**\[\] data = inputStr.getBytes();  
52.   
53.         **byte**\[\] encodedData = CertificateCoder.encryptByPrivateKey(data,  
54.                 keyStorePath, alias, password);  
55.   
56.         **byte**\[\] decodedData = CertificateCoder.decryptByPublicKey(encodedData,  
57.                 certificatePath);  
58.   
59.         String outputStr = **new** String(decodedData);  
60.         System.err.println("加密前: " + inputStr + "\\n\\r" + "解密后: " + outputStr);  
61.         assertEquals(inputStr, outputStr);  
62.   
63.         System.err.println("私钥签名——公钥验证签名");  
64.         // 产生签名  
65.         String sign = CertificateCoder.sign(encodedData, keyStorePath, alias,  
66.                 password);  
67.         System.err.println("签名:\\r" + sign);  
68.   
69.         // 验证签名  
70.         **boolean** status = CertificateCoder.verify(encodedData, sign,  
71.                 certificatePath);  
72.         System.err.println("状态:\\r" + status);  
73.         assertTrue(status);  
74.   
75.     \}  
76.   
77.     @Test  
78.     **public** **void** testHttps() **throws** Exception \{  
79.         URL url = **new** URL("https://www.zlex.org/examples/");  
80.         HttpsURLConnection conn = (HttpsURLConnection) url.openConnection();  
81.   
82.         conn.setDoInput(**true**);  
83.         conn.setDoOutput(**true**);  
84.   
85.         CertificateCoder.configSSLSocketFactory(conn, password, keyStorePath,  
86.                 keyStorePath);  
87.   
88.         InputStream is = conn.getInputStream();  
89.   
90.         **int** length = conn.getContentLength();  
91.   
92.         DataInputStream dis = **new** DataInputStream(is);  
93.         **byte**\[\] data = **new** **byte**\[length\];  
94.         dis.readFully(data);  
95.   
96.         dis.close();  
97.         conn.disconnect();  
98.         System.err.println(**new** String(data));  
99.     \}  
100. \}

再次执行，验证通过！ ![icon_biggrin.gif][]   
由此，我们了基于SSL协议的认证过程。测试类的testHttps方法模拟了一次浏览器的HTTPS访问。 ![icon_biggrin.gif][]

[Java]: http://snowolf.iteye.com/blog/397693
[thawte]: https://www.thawte.com/
[https_www.thawte.com_cgi_server_try.exe]: https://www.thawte.com/cgi/server/try.exe
[icon_star.png]: http://snowolf.iteye.com/images/icon_star.png
[icon_star.png 1]: /images/20220618/a4edc168188943f19be274544f2eb346.png
[https_www.zlex.org]: https://www.zlex.org/
[ba0a327e-afd9-35ed-8836-8ec92b72e8cf.jpg]: /images/20220618/85e9b99354d14510a707c19ef82c5e99.png
[dfa22608-e0fc-303e-84c1-c6622c95843a.jpg]: /images/20220618/564fd257a9e847b59e7bf32c012ddb68.png
[icon_biggrin.gif]: /images/20220618/3fa2fde953dc4d1f9ce7e76e0e25ac61.png