证书使用java进行双向认证的ssl链接及使用openssl生产证书链附源程序

openssl  时间:2021-02-26  阅读:()

这几天被SSL和证书搞得头昏脑胀的。不过还好终于把这个 SSL搞定了。

用SSL进行双向身份验证意思就是在客户机连接服务器时 链接双方都要对彼此的数字证书进行验证保证这是经过授权的才能够连接(我们链接一般的 SSL时采用的是单向验证客户机只验证服务器的证书服务器不验证客户机的证书。而连接网上银行时使用的 U盾就是用来存储进行双向验证所需要的客户端证书的)。

JDK里面内置了一个数字证书生产工具 keytool。但是这个工具只能生成自签名的数字证书。所谓自签名就是指证书只能保证自己是完整的 没有经过非法修改的。 但是无法保证这个证书是属于谁的。其实用这种自签名的证书也是可以进行双向验证的 (用keytool生成的自签名证书进行双向验证请看这里 向这位仁兄致意〜 )但是这种验证有一个缺点对于每一个要链接的服务器都要保存一个证书的验证副本。 而且一旦服务器更换证书所有客户端就需要重新部署这些副本。对于比较大型的应用来说这一点是不可接受的。所以就需要证书链进行双向认证。 证书链是指对证书的签名又一个预先部署的 众所周知的签名方签名完成这样每次需要验证证书时只要用这个公用的签名方的公钥进行验证就可以了。 比如我们使用的浏览器就保存了几个常用的 CA_ROOT每次连接到网站时只要这个网站的证书是经过这些CA_ROOT签名过的。就可以通过验证了。

但是这些共用的CA_ROOT的服务不是免费的。而且价格不菲。所以我们有必要自己生成一个CA_ROOT的密钥对然后部署应用时只要把这个C A_RO O T的私钥部署在所有节点就可以完成验证了。要进行CA_ROOT的生成需要OpenSSL()。你也可以在找到Windows下的版本

安装好OpenS SL以后就可以生成证书链了我写了一个 BAT解决这些东西

@echo offset Cset PWD_SERVER_KS=serverks

set PWD_SERVER_KEY=serverkeyset PWD_CLIENT_KS=clie ntks

set PWD_CLIENT_KEY=clie ntkeyif not exist (echo Generating a ca root key file. . .ope nssl req-new-x509-keyout -out -config%CONFIG%

)else(echo already exists. . .

) if not exist (

echo Generating server's private key. . .keytool -ge nkey-alias log on_server_private_key-validity 365-keyalg RSA-keysize 1024-keystore-keypass%PWD_SERVER_KEY%-storepass%PWD_SERVER_KS%)else(echo already exits. . .

)if not exist (echo Generating client's private key. . .keytool -ge nkey-alias ipclie nt_private_key -validity 365-keyalg RSA-keysize 1024-keystore-keypass%PWD_CLIENT_KEY%-storepass%PWD_CLIENT_KS%)else(echo already exits. . .

)echo========Fini shed key gen erati on=========if not exist (echo Generating server's singature request file. . .keytool -certreq-alias log on_server_private_key-sigalg MD5 withRSA-file

-keypass%PWD_SERVER_KEY%-storepass%PWD_SERVER_KS%-keystore

)else(echo already exits. . .

)if not exist (echo Generating client's singature request file. . .keytool -certreq-alias ipclie nt_private_key-sigalg MD5 withRSA

-file-keypass%PWD_CLIENT_KEY%-storepass%PWD_CLIENT_KS%-keystore)else(echo already exits. . .

)if not exist (ope nssl ca-in-out -cert -keyfile-n otext -co nfig%CONFIG%)else(

echo already exits. . .if not exist (ope nssl ca-in-out -cert -keyfile-n otext -co nfig%CONFIG%

)else(echo already e xits. . .

)echo=========Fini shed ca root sig naturi ng==========echo Import ing ca root certs into keystore. . .keytool -import -v-trustcacerts -alias ca_root -file -storepass%PWD_SERVER_KS%-keystorekeytool -import -v-trustcacerts -alias ca_root -file -storepass%PWD_CLIENT_KS%-keystore echo Importing sig natured keys. . .keytool -import -v-alias logo n_server_private_key-file-keypass%PWD_SERVER_KEY%-storepass%PWD_SERVER_KS%-keystorekeytool -import -v-alias ipclie nt_private_key -file-keypass%PWD_CLIENT_KEY%

-storepass%PWD_CLIENT_KS%-keystoreecho All done!

运行这个批处理期间需要回答一些问题 然后就可以得到一些文件其中是需要在客户端部署的是在服务器部署的。 ca.*是root_ca的密钥文件。

然后可以用下面的代码测试

/*

* Copyrights (C)2008 Bearice)

* Release under GNU/GPL Versio n 2.

*/package import

import import import import import import import import import import import import import import import import

*@author Bearice

*/public class NewClass exte nds Thread{

@O verri depublic void run() {try{sleep(100);

SSLContext ctx=("SSL');

KeyMa nagerFactory kmf=("Su nX509");

TrustMa nagerFactory tmf=("Su nX509");

KeyStore ks=("JKS');oCharArray());

(ks, "clientkey" .toCharArray());

(ks);

(),(),nul l);

SSL SocketFactory factory=();

SSLSocket socket=(SSLSocke) ("",4433);sho wCerts());

PrintWriter pw=new PrintWriter());

("GET/HTTP/");

("Server:");

("Connection:close");

();

();

BufferedRe ader in=ne w BufferedRe ader(ne w In put StreamReader()));Stri ng ln;whi l e((ln=()) !=nul l) {

}

} catch(Excepti on ex) {nul l,e x);

}

}public static void showCerts(SSLSession sessio"{

X509Certificate cert=null;try{cert=(X509Certificate) ()[0];

} catch(SSLPeerU nverifiedExcepti on e) {

();

+"did not present a valid certificate");oCharArray());

(ks, "serverkey" .toCharArray());

(ks);

(),(),nul l);

SSLServerSocketFactory factory=();

SSLServerSocket serverSocket=(SSLServerSocke)t (4433);

(true);new NewClass().start();

SSLSocket socket=(SSLSocke)t ();try{

();

} catch(Excepti on ex) {

"Ha ndshake failed: "+ex);

}sho wCerts());

();

PrintWriter out=new PrintWriter());

BufferedRe ader in=ne w BufferedRe ader(ne w In put StreamReader()));Stri ng ln;whi l e((ln=()) !=nul l) {if("")) {bre ak;

}

}

("HTTP/200 OK");

C'C ache-Co ntro l:no-c ache");

("P ragm a:no-c ache");

("Expires:Fri,01 Jan 199000:00:00 GMT");

("Content-Type: text/html;charset=UTF-8");

("Date:Tue,01 Jul 2008 1 1:56:42 GMT");

("Server:BWS");

("X-Powered-By:BWS");

()

("<html><h1>hello world</h1></html>");()

();

}

}

萤光云(13.25元)香港CN2 新购首月6.5折

萤光云怎么样?萤光云是一家国人云厂商,总部位于福建福州。其成立于2002年,主打高防云服务器产品,主要提供福州、北京、上海BGP和香港CN2节点。萤光云的高防云服务器自带50G防御,适合高防建站、游戏高防等业务。目前萤光云推出北京云服务器优惠活动,机房为北京BGP机房,购买北京云服务器可享受6.5折优惠+51元代金券(折扣和代金券可叠加使用)。活动期间还支持申请免费试用,需提交工单开通免费试用体验...

DogYun香港BGP月付14.4元主机简单测试

前些天赵容分享过DogYun(狗云)香港BGP线路AMD 5950X经典低价云服务器的信息(点击查看),刚好账户还有点余额够开个最低配,所以手贱尝试下,这些贴上简单测试信息,方便大家参考。官方网站:www.dogyun.com主机配置我搞的是最低款优惠后14.4元/月的,配置单核,512MB内存,10GB硬盘,300GB/50Mbps月流量。基本信息DogYun的VPS主机管理集成在会员中心,包括...

Pacificrack:新增三款超级秒杀套餐/洛杉矶QN机房/1Gbps月流量1TB/年付仅7美刀

PacificRack最近促销上瘾了,活动频繁,接二连三的追加便宜VPS秒杀,PacificRack在 7月中下旬已经推出了五款秒杀VPS套餐,现在商家又新增了三款更便宜的特价套餐,年付低至7.2美元,这已经是本月第三波促销,带宽都是1Gbps。PacificRack 7月秒杀VPS整个系列都是PR-M,也就是魔方的后台管理。2G内存起步的支持Windows 7、10、Server 2003\20...

openssl为你推荐
天天酷跑刷金币天天酷跑如何刷分刷金币?商标注册查询官网如何在网上查询商标是否注册?宕机人们说的宕机是什么意思网页打开很慢为什么我打开网页很慢安全漏洞什么是安全漏洞攻击??虚拟专用网拨号网络与虚拟专用网的区别网站优化方案网站优化方案应该从哪些方面去分析?blogcn哪种博客更好...sina.baidu.blogcn还是.............?声母是什么22个声母是什么怎样申请支付宝如何申请支付宝?
100m虚拟主机 cn域名价格 中文域名申请 enom enzu 美元争夺战 512m内存 申请空间 hinet 万网空间购买 Updog 免费外链相册 登陆空间 国外在线代理服务器 百度云空间 注册阿里云邮箱 主机返佣 空间排行榜 winserver2008r2 更多