加密之SSL和单双向认证

Posted 2023-05-15

参考技术A SSL 配置是我们在实际应用中经常见到的场景
SSL ( Secure Sockets Layer ,安全套接层)是为通信提供安全及数据完整性的一种安全协议， SSL 在网络传送层对网络连接进行加密。 SSL 协议位于 TCP/IP 协议与各种应用层协议之间，为数据通信提供安全支持。
SSL 协议可分为两层：

我们需要构建一个由 CA 机构签发的有效证书，这里我们先生成的自签名证书 zlex.cer ( 具体生产证书密钥步骤点此了解 )
这里，我们将证书导入到我们的密钥库。

其中：

在这里我使用的密码为654321

控制台输出：

接下来我们将域名 www.zlex.org 定位到本机上。打开 C:\Windows\System32\drivers\etc\hosts 文件，将 www.zlex.org 绑定在本机上。在文件末尾追加 127.0.0.1 www.zlex.org 。
现在通过地址栏访问 http://www.zlex.org ，或者通过 ping 命令，如果能够定位到本机，域名映射就搞定了。
现在，配置 tomcat 。先将 zlex.keystore 拷贝到 tomcat 的 conf 目录下，然后配置 server.xml 。将如下内容加入配置文件

注意 clientAuth="false" 测试阶段，置为 false ，正式使用时建议使用 true 。现在启动tomcat，就可以访问 https://www.zlex.org/ 进行测试

显然，证书未能通过认证，这个时候你可以选择安装证书（上文中的 zlex.cer 文件就是证书），作为受信任的根证书颁发机构导入，再次重启浏览器，访问 https://www.zlex.org/ ，就会看到地址栏中会有个小锁
，就说明安装成功。所有的浏览器联网操作已经在RSA加密解密系统的保护之下了。但似乎我们感受不到。
这个时候很多人开始怀疑，如果我们要手工做一个这样的https的访问是不是需要把浏览器的这些个功能都实现呢？不需要！

点击了解Spring Boot配置SSL过程

点击此处了解 获取公私钥，加密解密，加签验签，验证证书有效期

configSSLSocketFactory 方法供外界调用，该方法为 HttpsURLConnection 配置了 SSLSocketFactory 。当 HttpsURLConnection 配置了 SSLSocketFactory 后，就可以通过 HttpsURLConnection 的 getInputStream 、 getOutputStream ，像往常使用 HttpURLConnection 做操作了。尤其要说明一点，未配置 SSLSocketFactory 前， HttpsURLConnection 的 getContentLength() 获得值永远都是 -1

验证结果

在上面我们使用自签名证书完成了认证。接下来，我们使用第三方 CA 签名机构完成证书签名。
这里我们使用 thawte 提供的测试用21天免费ca证书。

在这里使用的密码为 123456

控制台输出：

就会获得 zlex.csr 文件，可以用记事本打开，内容如下格式：

将其存储为zlex.p7b

在这里使用的密码为 123456

控制台输出：

对于双向认证，做一个简单的描述。
服务器端下发证书，客户端接受证书。 证书 带有 公钥 信息，用于验证服务器端、对数据加密/解密，起到OSI五类服务的认证（鉴别）服务和保密性服务。 这只是单向认证，为什么？
因为客户端可以验证服务器端，但服务器端不能验证客户端！
如果客户端也有这样一个证书，服务器端也就能够验证客户端，这就是双向认证了，换言之，当你用银行的 U盾 之类的U盘与银行账户交互时，在你验证银行服务器的同时，服务器也在验证你！这种双重验证，正是网银系统的安全关键！

双向认证需要一个 CA 机构签发这样的客户端、服务器端证书，首先需要 CA 机构构建一个根证书。 keytool 可以构建证书但不能构建我们需要的根证书， openssl 则可以，根证书签发客户端证书，根私钥签发服务器端证书
直接使用linux下的 openssl 来完成 CA ，需要修改 openssl.cnf 文件，在ubuntu下的/etc/ssl/目录下，找到[ CA_default ]修改dir变量。

我们把c盘的ca目录作为CA认证的根目录，文件修改后如下所示：

我们需要在用户目录下构建一个ca目录，以及子目录，如下所下：
ca
|__certs
|__newcerts
|__private
|__crl

执行如下操作：

计算机网络

一、HTTPS

• 加密和哈希
• 数字签名和数字证书
• HTTPS 的核心 SSL/TSL 协议
• iOS中的实际运用

二、HTTPS 单向认证和双向认证

• Https单向认证和双向认证

2.1 单向认证

Https 在建立 Socket 连接之前，需要进行握手，具体过程如下：

1. ?客户端向服务端发送 SSL 协议版本号、加密算法种类、随机数等信息。
2. ?服务端给客户端返回 SSL 协议版本号、加密算法种类、随机数等信息，同时也返回服务器端的证书，即公钥证书。
3. 客户端使用服务端返回的信息验证服务器的合法性，包括：
   1. 证书是否过期
   2. 发行服务器证书的 CA 是否可靠
   3. 返回的公钥是否能正确解开返回证书中的数字签名
   4. 服务器证书上的域名是否和服务器的实际域名相匹配
4. 验证通过后，将继续进行通信，否则，终止通信
5. 客户端向服务端发送自己所能支持的对称加密方案，供服务器端进行选择。
6. 服务器端在客户端提供的加密方案中选择加密程度最高的加密方式。
7. 服务器将选择好的加密方案通过明文方式返回给客户端
8. 客户端接收到服务端返回的加密方式后，使用该加密方式生成随机码，用作通信过程中对称加密的密钥，使用服务端返回的公钥进行加密，将加密后的随机码发送至服务器
9. 服务器收到客户端返回的加密信息后，使用自己的私钥进行解密，获取对称加密密钥。?

在接下来的会话中，服务器和客户端将会使用该密码进行对称加密，保证通信过程中信息的安全。

2.2 双向认证

双向认证和单向认证原理基本差不多，只是除了客户端需要认证服务端以外，增加了服务端对客户端的认证，具体过程如下：

1. 客户端向服务端发送 SSL 协议版本号、加密算法种类、随机数等信息。
2. 服务端给客户端返回 SSL 协议版本号、加密算法种类、随机数等信息，同时也返回服务器端的证书，即公钥证书
3. 客户端使用服务端返回的信息验证服务器的合法性，包括：
   1. 证书是否过期
   2. 发行服务器证书的 CA 是否可靠
   3. 返回的公钥是否能正确解开返回证书中的数字签名
   4. 服务器证书上的域名是否和服务器的实际域名相匹配
4. 验证通过后，将继续进行通信，否则，终止通信
5. 服务端要求客户端发送客户端的证书，客户端会将自己的证书发送至服务端
6. 验证客户端的证书，通过验证后，会获得客户端的公钥
7. 客户端向服务端发送自己所能支持的对称加密方案，供服务器端进行选择
8. 服务器端在客户端提供的加密方案中选择加密程度最高的加密方式，将加密方案通过使用之前获取到的公钥进行加密，返回给客户端
9. 客户端收到服务端返回的加密方案密文后，使用自己的私钥进行解密，获取具体加密方式，而后，产生该加密方式的随机码，用作加密过程中的密钥，使用之前从服务端证书中获取到的公钥进行加密后，发送给服务端
10. 服务端收到客户端发送的消息后，使用自己的私钥进行解密，获取对称加密的密钥，在接下来的会话中，服务器和客户端将会使用该密码进行对称加密，保证通信过程中信息的安全。