资讯详情

Java HTTPS 双向SSL认证和keytool生成keystore

HTTPS 如何做安全认证？HTTPS 是 HTTP 计算机网络中的两个实体之间允许安全通信。HTTPS 使用TLS(传输层安全)协议实现安全连接。

TLS 它可以通过单向或双向证书验证来实现。在单向方向，服务器共享其公共证书，以便客户能够验证它是一个值得信赖的服务器。另一种选择是双向验证。客户和服务器共享他们的公共证书来验证对方的身份。即双向证书验证，服务器还将检查客户的证书。

Java 和 TLS 版本

TLS 1.3是协议的最新版本。该版本具有更高的性能和安全性。它有更有效的握手协议，并使用现代加密算法。

Java 在Java 支持这个版本的协议从11开始。我们将使用这个版本生成证书，并实现一个简单的客户端服务器和使用TLS验证对方。

在 Java 中生成证书

因为我们正在双向进行TLS我们需要为客户端和服务器生成证书。

在生产环境中，我们建议从证书颁发机构购买这些证书。然而，对于测试或演示的目的，使用自签名证书就足够了。在本文中，我们将使用它Java的keytool生成自签证书。

服务器证书

首先，我们生成服务器的密钥存储。

keytool -genkey -alias serverkey  -keyalg RSA -keysize 2048 -sigalg SHA256withRSA  -keystore serverkeystore.p12 -storepass password  -ext san=ip:127.0.0.1,dns:localhost

我们使用keytool -ext选项来设置 Subject Alternative Names （SAN），本地主机名/定义并识别服务器IP地址。一般来说，我们可以用这个选项指定多个地址。然而，客户将被限制在使用这些地址中的一个连接到服务器。

接下来，我们将证书导出到文件中server-certificate.pem中。

keytool -exportcert -keystore serverkeystore.p12 -alias serverkey  -storepass password -rfc -file server-certificate.pem

最后，我们将服务器证书添加到客户端的信任存储中。

keytool -import -trustcacerts -file server-certificate.pem  -keypass password -storepass password -keystore clienttruststore.jks

客户端证书

同样，我们在客户端生成密钥存储并导出书，并将客户证书添加到服务器的信任存储中。

keytool -genkey -alias clientkey -keyalg RSA -keysize 2048 -sigalg SHA256withRSA -keystore clientkeystore.p12 -storepass password -ext san=ip:127.0.0.1  keytool -exportcert -keystore clientkeystore.p12 -alias clientkey -storepass password -rfc -file client-certificate.pem  keytool -import -trustcacerts -file client-certificate.pem -keypass password -storepass password -keystore servertruststore.jks

Java 服务端实现

使用Java socket 来实现。SSLSocketEchoServer类得到了一个SSLServerSocket，以轻松支持TLS认证。我们只需要指定密码和协议，剩下的只是一个标准的响应服务器，回复客户发送的相同信息。

//server import java.io.FileInputStream; import java.io.*; import java.net.Socket; import java.security.KeyStore;  import javax.net.ssl.KeyManagerFactory; import javax.net.ssl.SSLContext; import javax.net.ssl.SSLServerSocket; import javax.net.ssl.SSLServerSocketFactory;  public class KeystoreTest {     public static void main(String[] args) throws Exception {         String key = "c:/.keystore";         KeyStore keystore = KeyStore.getInstance("JKS");         //keystore的类型，默认是jks           keystore.load(new FileInputStream(key), "123456".toCharArray());         //创建jkd密钥访问库    123456是keystore密码。           KeyManagerFactory kmf = KeyManagerFactory.getInstance("SunX509");         kmf.init(keystore, "asdfgh".toCharArray());  //asdfgh是key密码。           //创建管理jks密钥库的x需要509密钥管理器来管理密钥key的密码           SSLContext sslc = SSLContext.getInstance("SSLv3");         // 构造SSL环境，指定SSL版本为3.0，也可以使用TLSv1，但是SSLv3更加常用。           sslc.init(kmf.getKeyManagers(), null, null);         //第二个参数TrustManager[] 在需要双向认证时使用认证管理器，           //构造ssl环境         SSLServerSocketFactory sslfactory = sslc.getServerSocketFactory();         SSLServerSocket serversocket = (SSLServerSocket) sslfactory.createServerSocket(9999);         //创建serversocket，监听，并传输数据验证授权           for (int i = 0; i < 15; i  ) {             final Socket socket = serversocket.accept();             new Thread() {                 public void run() {                     try {                         InputStream is = socket.getInputStream();                         OutputStream os = socket.getOutputStream();                          byte[] buf = new byte[1024];                         int len = is.read(buf);                         System.out.println(new String(buf));                         os.write("ssl test".getBytes());                         os.close();                         is.close();                     } catch (Exception e) {// }                       }                 }             }.start();             serversocket.close();         }     } }

服务器监控客户端的连接。listener.setNeedClientAuth(true) 调用要求客户端与服务器共享其证书。 SSLServerSocket 实现使用TLS协议认证客户端。

在我们的例子中，自签客户证书存储在服务器的信任中，因此 socket 接收连接。继续使用服务器InputStream 读新闻。然后，它使用它。OuputStream来回传输信息，并添加确认信息。

Java客户端实现

客户端的实现和我们处理服务器的方式一样简单SSLScocketClient类。

//client import java.io.FileInputStream; import java.io.InputStream; import java.io.OutputStream; import java.security.KeyStore; import javax.net.ssl.SSLContext; import javax.net.ssl.SSLSocket; import javax.net.ssl.SSLSocketFactory; import javax.net.ssl.TrustManagerFactory;  public class KeystoreTestClient {     public static void main(String[] args) throws Exception {         String key = "c:/cient";
        KeyStore keystore = KeyStore.getInstance("JKS");  //创建一个keystore来管理密钥库  
        keystore.load(new FileInputStream(key), "123456".toCharArray());
        //创建jkd密钥访问库  
        TrustManagerFactory tmf = TrustManagerFactory.getInstance("SunX509");
        tmf.init(keystore);  //验证数据，可以不传入key密码  
        //创建TrustManagerFactory,管理授权证书  
        SSLContext sslc = SSLContext.getInstance("SSLv3");
        // 构造SSL环境，指定SSL版本为3.0，也可以使用TLSv1，但是SSLv3更加常用。  
        sslc.init(null, tmf.getTrustManagers(), null);
        //KeyManager[] 第一个参数是授权的密钥管理器，用来授权验证。第二个是被授权的证书管理器，  
        //用来验证服务器端的证书。只验证服务器数据，第一个管理器可以为null  
        //构造ssl环境
        SSLSocketFactory sslfactory = sslc.getSocketFactory();
        SSLSocket socket = (SSLSocket) sslfactory.createSocket("127.0.0.1", 9999);
        //创建serversocket通过传输数据来验证授权
        InputStream is = socket.getInputStream();
        OutputStream os = socket.getOutputStream();
        os.write("client".getBytes());
        byte[] buf = new byte[1024];
        int len = is.read(buf);
        System.out.println(new String(buf));
        os.close();
        is.close();
    }
}

首先，我们创建一个SSLSocket，与服务器建立一个连接。在后台，该socket将设置TLS连接建立握手。作为握手的一部分，客户端将验证服务器的证书并检查它是否在客户端的信任库中。

一旦连接成功建立，客户端将使用输出流向服务器发送一个消息。然后，它用输入流读取服务器的响应。

运行应用程序

要运行服务器，请打开一个命令窗口并运行。

java -Djavax.net.ssl.keyStore=/path/to/serverkeystore.p12 \ 
  -Djavax.net.ssl.keyStorePassword=password \
  -Djavax.net.ssl.trustStore=/path/to/servertruststore.jks \ 
  -Djavax.net.ssl.trustStorePassword=password \
  cn.javanorth.httpsclientauthentication.SSLSocketEchoServer

我们指定javax.net.ssl.keystore和javax.net.ssl.trustStore的系统属性指向我们之前用keytool创建的serverkeystore.p12和servertruststore.jks文件。

为了运行客户端，我们打开另一个命令窗口并运行。

同样，我们设置javax.net.ssl.keyStore和javax.net.ssl.trustStore系统属性，使其指向我们之前用keytool生成的clientkeystore.p12和clienttruststore.jks文件。

Keytool命令详解

Keytool 是一个Java 数据证书的管理工具 ,Keytool 将密钥（key）和证书（certificates）存在一个称为keystore的文件中 在keystore里，包含两种数据：  密钥实体（Key entity）——密钥（secret key）又或者是私钥和配对公钥（采用非对称加密）  可信任的证书实体（trusted certificate entries）——只包含公钥 ailas(别名)每个keystore都关联这一个独一无二的alias，这个alias通常不区分大小写

JDK中keytool 常用命令:  -genkey      在用户主目录中创建一个默认文件".keystore",还会产生一个mykey的别名，mykey中包含用户的公钥、私钥和证书 (在没有指定生成位置的情况下,keystore会存在用户系统默认目录，如：对于window xp系统，会生成在系统的C:/Documents and Settings/UserName/文件名为“.keystore”) -alias       产生别名 -keystore    指定密钥库的名称(产生的各类信息将不在.keystore文件中) -keyalg      指定密钥的算法 (如 RSA  DSA（如果不指定默认采用DSA）) -validity    指定创建的证书有效期多少天 -keysize     指定密钥长度 -storepass   指定密钥库的密码(获取keystore信息所需的密码) -keypass     指定别名条目的密码(私钥的密码) -dname       指定证书拥有者信息 例如：  "CN=名字与姓氏,OU=组织单位名称,O=组织名称,L=城市或区域名称,ST=州或省份名称,C=单位的两字母国家代码" -list        显示密钥库中的证书信息      keytool -list -v -keystore 指定keystore -storepass 密码 -v           显示密钥库中的证书详细信息 -export      将别名指定的证书导出到文件  keytool -export -alias 需要导出的别名 -keystore 指定keystore -file 指定导出的证书位置及证书名称 -storepass 密码 -file        参数指定导出到文件的文件名 -delete      删除密钥库中某条目          keytool -delete -alias 指定需删除的别  -keystore 指定keystore  -storepass 密码 -printcert   查看导出的证书信息          keytool -printcert -file yushan.crt -keypasswd   修改密钥库中指定条目口令    keytool -keypasswd -alias 需修改的别名 -keypass 旧密码 -new  新密码  -storepass keystore密码  -keystore sage -storepasswd 修改keystore口令      keytool -storepasswd -keystore e:/yushan.keystore(需修改口令的keystore) -storepass 123456(原始密码) -new yushan(新密码) -import      将已签名数字证书导入密钥库  keytool -import -alias 指定导入条目的别名 -keystore 指定keystore -file 需导入的证书

下面是各选项的缺省值。  -alias "mykey" -keyalg "DSA" -keysize 1024 -validity 90 -keystore 用户宿主目录中名为 .keystore 的文件 -file 读时为标准输入，写时为标准输出  1、keystore的生成：  分阶段生成：      keytool -genkey -alias yushan(别名) -keypass yushan(别名密码) -keyalg RSA(算法) -keysize 1024(密钥长度) -validity 365(有效期，天单位) -keystore          e:/yushan.keystore(指定生成证书的位置和证书名称) -storepass 123456(获取keystore信息的密码)；回车输入相关信息即可； 一次性生成：      keytool -genkey -alias yushan -keypass yushan -keyalg RSA -keysize 1024 -validity 365 -keystore  e:/yushan.keystore -storepass 123456 -dname "CN=(名字与姓氏), OU=(组织单位名称), O=(组织名称), L=(城市或区域名称), ST=(州或省份名称), C=(单位的两字母国家代码)";(中英文即可) 2、keystore信息的查看：     keytool -list  -v -keystore e:/keytool /yushan.keystore -storepass 123456    显示内容： ---------------------------------------------------------------------    Keystore 类型： JKS Keystore 提供者： SUN 您的 keystore 包含 1 输入 别名名称： yushan 创建日期： 2009-7-29 项类型: PrivateKeyEntry 认证链长度： 1 认证 [1]: 所有者:CN=yushan, OU=xx公司, O=xx协会, L=湘潭, ST=湖南, C=中国 签发人:CN=yushan, OU=xx公司, O=xx协会, L=湘潭, ST=湖南, C=中国 序列号:4a6f29ed 有效期: Wed Jul 29 00:40:13 CST 2009 至Thu Jul 29 00:40:13 CST 2010 证书指纹:          MD5:A3:D7:D9:74:C3:50:7D:10:C9:C2:47:B0:33:90:45:C3          SHA1:2B:FC:9E:3A:DF:C6:C4:FB:87:B8:A0:C6:99:43:E9:4C:4A:E1:18:E8          签名算法名称:SHA1withRSA          版本: 3 --------------------------------------------------------------------

缺省情况下，-list 命令打印证书的 MD5 指纹。而如果指定了 -v 选项，将以可读格式打印证书，如果指定了 -rfc 选项，将以可打印的编码格式输出证书。

keytool -list  -rfc -keystore e:/yushan.keystore -storepass 123456

显示：

-------------------------------------------------------------------------------------------------------

Keystore 类型： JKS Keystore 提供者： SUN 您的 keystore 包含 1 输入 别名名称： yushan 创建日期： 2009-7-29 项类型: PrivateKeyEntry 认证链长度： 1 认证 [1]: -----BEGIN CERTIFICATE----- MIICSzCCAbSgAwIBAgIESm8p7TANBgkqhkiG9w0BAQUFADBqMQ8wDQYDVQQGDAbkuK3lm70xDzAN BgNVBAgMBua5luWNlzEPMA0GA1UEBwwG5rmY5r2tMREwDwYDVQQKDAh4eOWNj+S8mjERMA8GA1UE CwwIeHjlhazlj7gxDzANBgNVBAMTBnl1c2hhbjAeFw0wOTA3MjgxNjQwMTNaFw0xMDA3MjgxNjQw MTNaMGoxDzANBgNVBAYMBuS4reWbvTEPMA0GA1UECAwG5rmW5Y2XMQ8wDQYDVQQHDAbmuZjmva0x ETAPBgNVBAoMCHh45Y2P5LyaMREwDwYDVQQLDAh4eOWFrOWPuDEPMA0GA1UEAxMGeXVzaGFuMIGf MA0GCSqGSIb3DQEBAQUAA4GNADCBiQKBgQCJoru1RQczRzTnBWxefVNspQBykS220rS8Y/oX3mZa hjL4wLfOURzUuxxuVQR2jx7QI+XKME+DHQj9r6aAcLBCi/T1jwF8mVYxtpRuTzE/6KEZdhowEe70 liWLVE+hytLBHZ03Zhwcd6q5HUMu27du3MPQvqiwzTY7MrwIvQQ8iQIDAQABMA0GCSqGSIb3DQEB BQUAA4GBAGoQQ1/FnTfkpQh+Ni6h3fZdn3sR8ZzDMbOAIYVLAhBb85XDJ8QZTarHbZMJcIdHxAl1 i08ct3E8U87V9t8GZFWVC4BFg/+zeFEv76SFpVE56iX7P1jpsu78z0m69hHlds77VJTdyfMSvtXv sYHP3fxfzx9WyhipBwd8VPK/NgEP -----END CERTIFICATE-----

------------------------------------------------------------------------------------------------------- 3、证书的导出：  keytool -export -alias yushan -keystore e:/yushan.keystore -file e:/yushan.crt(指定导出的证书位置及证书名称) -storepass 123456 4、查看导出的证书信息     keytool -printcert -file yushan.crt    显示：（在windows下可以双击yushan.crt查看） ----------------------------------------------------------------------- 所有者:CN=yushan, OU=xx公司, O=xx协会, L=湘潭, ST=湖南, C=中国 签发人:CN=yushan, OU=xx公司, O=xx协会, L=湘潭, ST=湖南, C=中国 序列号:4a6f29ed 有效期: Wed Jul 29 00:40:13 CST 2009 至Thu Jul 29 00:40:13 CST 2010 证书指纹:          MD5:A3:D7:D9:74:C3:50:7D:10:C9:C2:47:B0:33:90:45:C3          SHA1:2B:FC:9E:3A:DF:C6:C4:FB:87:B8:A0:C6:99:43:E9:4C:4A:E1:18:E8          签名算法名称:SHA1withRSA          版本: 3 ----------------------------------------------------------------------- 5、证书的导入：     准备一个导入的证书：    keytool -genkey -alias shuany -keypass shuany -keyalg RSA -keysize 1024 -validity 365 -keystore  e:/shuany.keystore -storepass 123456 -dname "CN=shuany,  OU=xx, O=xx, L=xx, ST=xx, C=xx";    keytool -export -alias shuany -keystore e:/shuany.keystore -file e:/shuany.crt -storepass 123456     现在将shuany.crt 加入到yushan.keystore中：   keytool -import -alias shuany(指定导入证书的别名，如果不指定默认为mykey,别名唯一，否则导入出错) -file e:/shuany.crt -keystore e:/yushan.keystore -storepass  123456  keytool -list  -v -keystore e:/keytool /yushan.keystore -storepass 123456 显示： ------------------------------------------------------------------------------ Keystore 类型： JKS Keystore 提供者： SUN 您的 keystore 包含 2 输入 别名名称： yushan 创建日期： 2009-7-29 项类型: PrivateKeyEntry 认证链长度： 1 认证 [1]: 所有者:CN=yushan, OU=xx公司, O=xx协会, L=湘潭, ST=湖南, C=中国 签发人:CN=yushan, OU=xx公司, O=xx协会, L=湘潭, ST=湖南, C=中国 序列号:4a6f29ed 有效期: Wed Jul 29 00:40:13 CST 2009 至Thu Jul 29 00:40:13 CST 2010 证书指纹:          MD5:A3:D7:D9:74:C3:50:7D:10:C9:C2:47:B0:33:90:45:C3          SHA1:2B:FC:9E:3A:DF:C6:C4:FB:87:B8:A0:C6:99:43:E9:4C:4A:E1:18:E8          签名算法名称:SHA1withRSA          版本: 3 ******************************************* ******************************************* 别名名称： shuany 创建日期： 2009-7-29 输入类型： trustedCertEntry 所有者:CN=shuany, OU=xx, O=xx, L=xx, ST=xx, C=xx 签发人:CN=shuany, OU=xx, O=xx, L=xx, ST=xx, C=xx 序列号:4a6f2cd9 有效期: Wed Jul 29 00:52:41 CST 2009 至Thu Jul 29 00:52:41 CST 2010 证书指纹:          MD5:15:03:57:9B:14:BD:C5:50:21:15:47:1E:29:87:A4:E6          SHA1:C1:4F:8B:CD:5E:C2:94:77:B7:42:29:35:5C:BB:BB:2E:9E:F0:89:F5          签名算法名称:SHA1withRSA          版本: 3 ******************************************* ******************************************* ------------------------------------------------------------------------------ 6、证书条目的删除：   keytool -delete -alias shuany(指定需删除的别名) -keystore yushan.keystore -storepass 123456 7、证书条目口令的修改：  keytool -keypasswd -alias yushan(需要修改密码的别名) -keypass yushan(原始密码) -new 123456(别名的新密码)  -keystore e:/yushan.keystore -storepass 123456 8、keystore口令的修改：   keytool -storepasswd -keystore e:/yushan.keystore(需修改口令的keystore) -storepass 123456(原始密码) -new yushan(新密码)

9、修改keystore中别名为yushan的信息

keytool -selfcert -alias yushan -keypass yushan -keystore e:/yushan.keystore -storepass 123456 -dname "cn=yushan,ou=yushan,o=yushan,c=us"

标签： kmf磁感应直线位移传感器

锐单商城拥有海量元器件数据手册、 IC替代型号，打造 电子元器件IC百科大全！

锐单商城 - 一站式电子元器件采购平台