一、TLS安全概念

（1）PKI

PKI是 Public Key Infrastructure的簡稱，意思是公鑰基礎(chǔ)設施。

公鑰基礎(chǔ)設施是提供公鑰加密和數(shù)字簽名服務的系統(tǒng)或平臺，目的是為了管理密鑰和證書。通過證書和秘鑰來確認通訊雙方是否可信任。

（2）CA

CA是Certificate Authority的簡稱，即證書的簽發(fā)機構(gòu)，它是PKI的核心。

正常情況來說，CA是具有權(quán)威性的機構(gòu)，通過CA獲取證書需要給錢。

但是有的時候可能不想用CA機構(gòu)的證書，又想要使用https站點，那么可能就需要自己生成證書，但是這種證書瀏覽器是認為不安全的，本文檔后邊的具體步驟即針對這種場景。

（3）https

https是http+ssl，通俗點說，就是采用http通訊的安全傳輸協(xié)議，用來保證http傳輸過程中數(shù)據(jù)的機密性、完整性和可靠性，ssl需要證書。

（4）單向認證

網(wǎng)絡通訊是雙向的，但是安全認證不一定都是雙向。大多數(shù)情況下可能都是單向的，只需要客戶端確認服務端是可靠的，而服務端不管客戶端是否可靠。

即客戶端，比如瀏覽器會驗證服務端證書，服務端不需要客戶端證書。

（5）雙向認證

雙向認證相對于單向認證，即客戶端需要確認服務端是否可信，服務端也需要確認客戶端是否可信。

雙方都要驗證對方的證書

（6）SSL 

 Secure Sockets Layer，一種加密協(xié)議規(guī)范，如https就使用它進行加解密

（7）OpenSSL

一種ssl規(guī)范的實現(xiàn)，可以幫助我們生成解析各類證書

（8）X.509

證書標準，比如證書應該包含哪些信息

（9）PEM

Privacy Enhanced Mail，一種編碼格式，常用于Apache和UNIX服務器，查看證書信息：openssl x509 -in certificate.pem -text -noout

（10）DER

Distinguished Encoding Rules,一種編碼格式，常用于Java和Windows服務器，查看證書的信息：openssl x509 -in certificate.der -inform der -text -noout

（11）CRT

certificate，證書文件，常見于UNIX系統(tǒng)，大多應是PEM編碼

（12）CER

certificate，證書文件，常見于Windows系統(tǒng)，大多應是DER編碼.

（13）KEY

通常用來存放一個公鑰或者私鑰，查看不同編碼格式文件內(nèi)容

（14）CSR

Certificate Signing Request，即證書簽名請求,這個并不是證書，而是向權(quán)威證書頒發(fā)機構(gòu)獲得簽名證書的申請，查看方法：openssl req -noout -text -in my.csr (DER格式同上后面加上-inform der)

（15）PFX/P12

predecessor of PKCS#12，對Unix服務器來說，一般CRT和KEY是分開存放在不同文件中的，但Windows的IIS則將它們存在一個PFX文件中，因此這個文件包含了證書及私鑰。

（16）JKS

Java Key Storage，跟OpenSSL關(guān)系不大，Java的keytool工具可以將PFX轉(zhuǎn)為JKS，也能直接生成JKS

二、證書存儲格式

1、pem格式：pem、crt、key后綴。編碼方式base64，key使用pkcs1、pkcs8格式存儲

2、p12（通用的證書存儲格式）

3、jks（java的證書存儲格式，依賴jdk版本，小版本差異會報錯）

三、證書客戶端設置

KeyManager是提供客戶端證書管理，TrustManager是信任服務端證書管理

（1）單向認證

        CertificateFactory certificateFactory = CertificateFactory.getInstance("X.509");
        FileInputStream caInputStream = new FileInputStream(caPath);
        List<X509Certificate> caList =  certificateFactory.generateCertificates(caInputStream).stream().map(v->
                (X509Certificate)v).collect(Collectors.toList());
        KeyStore keystore = KeyStore.getInstance("JKS");
        keystore.load(null, null);
        for(X509Certificate ca: caList)
           keystore.setCertificateEntry(ca.getSubjectDN().getName(), ca);
        TrustManagerFactory tmf = TrustManagerFactory.getInstance("PKIX");
        tmf.init(keystore);
 
        SSLContext context = SSLContext.getInstance("TLS");
        context.init(null, tmf.getTrustManagers(), new SecureRandom());

（2）雙向認證

   private void sslContext() {
       // 初始化密鑰庫
        KeyManagerFactory keyManagerFactory = KeyManagerFactory
                .getInstance("SunX509");
        KeyStore keyStore = getKeyStore("client.jks", "123456", "PKCS12");
        keyManagerFactory.init(keyStore, "123456".toCharArray());
        // 初始化信任庫
        TrustManagerFactory trustManagerFactory = TrustManagerFactory
                .getInstance("SunX509");
        KeyStore trustkeyStore = getKeyStore("server.jks", "123456", "JKS");
        trustManagerFactory.init(trustkeyStore);
        // 初始化SSL上下文
        SSLContext ctx = SSLContext.getInstance("SSL");
        ctx.init(keyManagerFactory.getKeyManagers(), trustManagerFactory
                .getTrustManagers(), null);
 
    }
 
    private  KeyStore getKeyStore(String keyStorePath, String password, String type)
            throws Exception {
 
        FileInputStream is = new FileInputStream(keyStorePath);
        KeyStore ks = KeyStore.getInstance(type);
        ks.load(is, password.toCharArray());
        is.close();
        return ks;
    }

總結(jié)

以上為個人經(jīng)驗，希望能給大家一個參考，也希望大家多多支持腳本之家。

最新評論