这几天被SSL和证书搞得头昏脑胀的。不过还好终于把这个 SSL搞定了。
用SSL进行双向身份验证意思就是在客户机连接服务器时 链接双方都要对彼此的数字证书进行验证保证这是经过授权的才能够连接(我们链接一般的 SSL时采用的是单向验证客户机只验证服务器的证书服务器不验证客户机的证书。而连接网上银行时使用的 U盾就是用来存储进行双向验证所需要的客户端证书的)。
JDK里面内置了一个数字证书生产工具 keytool。但是这个工具只能生成自签名的数字证书。所谓自签名就是指证书只能保证自己是完整的 没有经过非法修改的。 但是无法保证这个证书是属于谁的。其实用这种自签名的证书也是可以进行双向验证的 (用keytool生成的自签名证书进行双向验证请看这里 向这位仁兄致意〜 )但是这种验证有一个缺点对于每一个要链接的服务器都要保存一个证书的验证副本。 而且一旦服务器更换证书所有客户端就需要重新部署这些副本。对于比较大型的应用来说这一点是不可接受的。所以就需要证书链进行双向认证。 证书链是指对证书的签名又一个预先部署的 众所周知的签名方签名完成这样每次需要验证证书时只要用这个公用的签名方的公钥进行验证就可以了。 比如我们使用的浏览器就保存了几个常用的 CA_ROOT每次连接到网站时只要这个网站的证书是经过这些CA_ROOT签名过的。就可以通过验证了。
但是这些共用的CA_ROOT的服务不是免费的。而且价格不菲。所以我们有必要自己生成一个CA_ROOT的密钥对然后部署应用时只要把这个C A_RO O T的私钥部署在所有节点就可以完成验证了。要进行CA_ROOT的生成需要OpenSSL()。你也可以在找到Windows下的版本
安装好OpenS SL以后就可以生成证书链了我写了一个 BAT解决这些东西
@echo offset Cset PWD_SERVER_KS=serverks
set PWD_SERVER_KEY=serverkeyset PWD_CLIENT_KS=clie ntks
set PWD_CLIENT_KEY=clie ntkeyif not exist (echo Generating a ca root key file. . .ope nssl req-new-x509-keyout -out -config%CONFIG%
)else(echo already exists. . .
) if not exist (
echo Generating server's private key. . .keytool -ge nkey-alias log on_server_private_key-validity 365-keyalg RSA-keysize 1024-keystore-keypass%PWD_SERVER_KEY%-storepass%PWD_SERVER_KS%)else(echo already exits. . .
)if not exist (echo Generating client's private key. . .keytool -ge nkey-alias ipclie nt_private_key -validity 365-keyalg RSA-keysize 1024-keystore-keypass%PWD_CLIENT_KEY%-storepass%PWD_CLIENT_KS%)else(echo already exits. . .
)echo========Fini shed key gen erati on=========if not exist (echo Generating server's singature request file. . .keytool -certreq-alias log on_server_private_key-sigalg MD5 withRSA-file
-keypass%PWD_SERVER_KEY%-storepass%PWD_SERVER_KS%-keystore
)else(echo already exits. . .
)if not exist (echo Generating client's singature request file. . .keytool -certreq-alias ipclie nt_private_key-sigalg MD5 withRSA
-file-keypass%PWD_CLIENT_KEY%-storepass%PWD_CLIENT_KS%-keystore)else(echo already exits. . .
)if not exist (ope nssl ca-in-out -cert -keyfile-n otext -co nfig%CONFIG%)else(
echo already exits. . .if not exist (ope nssl ca-in-out -cert -keyfile-n otext -co nfig%CONFIG%
)else(echo already e xits. . .
)echo=========Fini shed ca root sig naturi ng==========echo Import ing ca root certs into keystore. . .keytool -import -v-trustcacerts -alias ca_root -file -storepass%PWD_SERVER_KS%-keystorekeytool -import -v-trustcacerts -alias ca_root -file -storepass%PWD_CLIENT_KS%-keystore echo Importing sig natured keys. . .keytool -import -v-alias logo n_server_private_key-file-keypass%PWD_SERVER_KEY%-storepass%PWD_SERVER_KS%-keystorekeytool -import -v-alias ipclie nt_private_key -file-keypass%PWD_CLIENT_KEY%
-storepass%PWD_CLIENT_KS%-keystoreecho All done!
运行这个批处理期间需要回答一些问题 然后就可以得到一些文件其中是需要在客户端部署的是在服务器部署的。 ca.*是root_ca的密钥文件。
然后可以用下面的代码测试
/*
* Copyrights (C)2008 Bearice)
* Release under GNU/GPL Versio n 2.
*/package import
import import import import import import import import import import import import import import import import
*@author Bearice
*/public class NewClass exte nds Thread{
@O verri depublic void run() {try{sleep(100);
SSLContext ctx=("SSL');
KeyMa nagerFactory kmf=("Su nX509");
TrustMa nagerFactory tmf=("Su nX509");
KeyStore ks=("JKS');oCharArray());
(ks, "clientkey" .toCharArray());
(ks);
(),(),nul l);
SSL SocketFactory factory=();
SSLSocket socket=(SSLSocke) ("",4433);sho wCerts());
PrintWriter pw=new PrintWriter());
("GET/HTTP/");
("Server:");
("Connection:close");
();
();
BufferedRe ader in=ne w BufferedRe ader(ne w In put StreamReader()));Stri ng ln;whi l e((ln=()) !=nul l) {
}
} catch(Excepti on ex) {nul l,e x);
}
}public static void showCerts(SSLSession sessio"{
X509Certificate cert=null;try{cert=(X509Certificate) ()[0];
} catch(SSLPeerU nverifiedExcepti on e) {
();
+"did not present a valid certificate");oCharArray());
(ks, "serverkey" .toCharArray());
(ks);
(),(),nul l);
SSLServerSocketFactory factory=();
SSLServerSocket serverSocket=(SSLServerSocke)t (4433);
(true);new NewClass().start();
SSLSocket socket=(SSLSocke)t ();try{
();
} catch(Excepti on ex) {
"Ha ndshake failed: "+ex);
}sho wCerts());
();
PrintWriter out=new PrintWriter());
BufferedRe ader in=ne w BufferedRe ader(ne w In put StreamReader()));Stri ng ln;whi l e((ln=()) !=nul l) {if("")) {bre ak;
}
}
("HTTP/200 OK");
C'C ache-Co ntro l:no-c ache");
("P ragm a:no-c ache");
("Expires:Fri,01 Jan 199000:00:00 GMT");
("Content-Type: text/html;charset=UTF-8");
("Date:Tue,01 Jul 2008 1 1:56:42 GMT");
("Server:BWS");
("X-Powered-By:BWS");
()
("<html><h1>hello world</h1></html>");()
();
}
}
萤光云怎么样?萤光云是一家国人云厂商,总部位于福建福州。其成立于2002年,主打高防云服务器产品,主要提供福州、北京、上海BGP和香港CN2节点。萤光云的高防云服务器自带50G防御,适合高防建站、游戏高防等业务。目前萤光云推出北京云服务器优惠活动,机房为北京BGP机房,购买北京云服务器可享受6.5折优惠+51元代金券(折扣和代金券可叠加使用)。活动期间还支持申请免费试用,需提交工单开通免费试用体验...
前些天赵容分享过DogYun(狗云)香港BGP线路AMD 5950X经典低价云服务器的信息(点击查看),刚好账户还有点余额够开个最低配,所以手贱尝试下,这些贴上简单测试信息,方便大家参考。官方网站:www.dogyun.com主机配置我搞的是最低款优惠后14.4元/月的,配置单核,512MB内存,10GB硬盘,300GB/50Mbps月流量。基本信息DogYun的VPS主机管理集成在会员中心,包括...
PacificRack最近促销上瘾了,活动频繁,接二连三的追加便宜VPS秒杀,PacificRack在 7月中下旬已经推出了五款秒杀VPS套餐,现在商家又新增了三款更便宜的特价套餐,年付低至7.2美元,这已经是本月第三波促销,带宽都是1Gbps。PacificRack 7月秒杀VPS整个系列都是PR-M,也就是魔方的后台管理。2G内存起步的支持Windows 7、10、Server 2003\20...