最新国产好看的视频,伊人天堂AV在线,国产Aaaaaa视频,蜜臀视频在线观看一区,人妻av色图,密臀久久久精品影片,青青视频免费观看毛片,久草在线观看视,国产三级精品色情在线

Java SSL與TLS客戶端證書配置方式

 更新時間:2024年01月23日 10:30:16   作者:茅坤寶駿氹  
這篇文章主要介紹了Java SSL與TLS客戶端證書配置方式,具有很好的參考價值,希望對大家有所幫助,如有錯誤或未考慮完全的地方,望不吝賜教

一、TLS安全概念

(1)PKI

PKI是 Public Key Infrastructure的簡稱,意思是公鑰基礎設施。

公鑰基礎設施是提供公鑰加密和數字簽名服務的系統(tǒng)或平臺,目的是為了管理密鑰和證書。通過證書和秘鑰來確認通訊雙方是否可信任。

(2)CA

CA是Certificate Authority的簡稱,即證書的簽發(fā)機構,它是PKI的核心。

正常情況來說,CA是具有權威性的機構,通過CA獲取證書需要給錢。

但是有的時候可能不想用CA機構的證書,又想要使用https站點,那么可能就需要自己生成證書,但是這種證書瀏覽器是認為不安全的,本文檔后邊的具體步驟即針對這種場景。

(3)https

https是http+ssl,通俗點說,就是采用http通訊的安全傳輸協(xié)議,用來保證http傳輸過程中數據的機密性、完整性和可靠性,ssl需要證書。

(4)單向認證

網絡通訊是雙向的,但是安全認證不一定都是雙向。大多數情況下可能都是單向的,只需要客戶端確認服務端是可靠的,而服務端不管客戶端是否可靠。

即客戶端,比如瀏覽器會驗證服務端證書,服務端不需要客戶端證書。

(5)雙向認證

雙向認證相對于單向認證,即客戶端需要確認服務端是否可信,服務端也需要確認客戶端是否可信。

雙方都要驗證對方的證書

(6)SSL 

 Secure Sockets Layer,一種加密協(xié)議規(guī)范,如https就使用它進行加解密

(7)OpenSSL

一種ssl規(guī)范的實現,可以幫助我們生成解析各類證書

(8)X.509

證書標準,比如證書應該包含哪些信息

(9)PEM

Privacy Enhanced Mail,一種編碼格式,常用于Apache和UNIX服務器,查看證書信息:openssl x509 -in certificate.pem -text -noout

(10)DER

Distinguished Encoding Rules,一種編碼格式,常用于Java和Windows服務器,查看證書的信息:openssl x509 -in certificate.der -inform der -text -noout

(11)CRT

certificate,證書文件,常見于UNIX系統(tǒng),大多應是PEM編碼

(12)CER

certificate,證書文件,常見于Windows系統(tǒng),大多應是DER編碼.

(13)KEY

通常用來存放一個公鑰或者私鑰,查看不同編碼格式文件內容

(14)CSR

Certificate Signing Request,即證書簽名請求,這個并不是證書,而是向權威證書頒發(fā)機構獲得簽名證書的申請,查看方法:openssl req -noout -text -in my.csr (DER格式同上后面加上-inform der)

(15)PFX/P12

predecessor of PKCS#12,對Unix服務器來說,一般CRT和KEY是分開存放在不同文件中的,但Windows的IIS則將它們存在一個PFX文件中,因此這個文件包含了證書及私鑰。

(16)JKS

Java Key Storage,跟OpenSSL關系不大,Java的keytool工具可以將PFX轉為JKS,也能直接生成JKS

二、證書存儲格式

1、pem格式:pem、crt、key后綴。編碼方式base64,key使用pkcs1、pkcs8格式存儲

2、p12(通用的證書存儲格式)

3、jks(java的證書存儲格式,依賴jdk版本,小版本差異會報錯)

三、證書客戶端設置

KeyManager是提供客戶端證書管理,TrustManager是信任服務端證書管理

(1)單向認證

        CertificateFactory certificateFactory = CertificateFactory.getInstance("X.509");
        FileInputStream caInputStream = new FileInputStream(caPath);
        List<X509Certificate> caList =  certificateFactory.generateCertificates(caInputStream).stream().map(v->
                (X509Certificate)v).collect(Collectors.toList());
        KeyStore keystore = KeyStore.getInstance("JKS");
        keystore.load(null, null);
        for(X509Certificate ca: caList)
           keystore.setCertificateEntry(ca.getSubjectDN().getName(), ca);
        TrustManagerFactory tmf = TrustManagerFactory.getInstance("PKIX");
        tmf.init(keystore);
 
        SSLContext context = SSLContext.getInstance("TLS");
        context.init(null, tmf.getTrustManagers(), new SecureRandom());

(2)雙向認證

   private void sslContext() {
       // 初始化密鑰庫
        KeyManagerFactory keyManagerFactory = KeyManagerFactory
                .getInstance("SunX509");
        KeyStore keyStore = getKeyStore("client.jks", "123456", "PKCS12");
        keyManagerFactory.init(keyStore, "123456".toCharArray());
        // 初始化信任庫
        TrustManagerFactory trustManagerFactory = TrustManagerFactory
                .getInstance("SunX509");
        KeyStore trustkeyStore = getKeyStore("server.jks", "123456", "JKS");
        trustManagerFactory.init(trustkeyStore);
        // 初始化SSL上下文
        SSLContext ctx = SSLContext.getInstance("SSL");
        ctx.init(keyManagerFactory.getKeyManagers(), trustManagerFactory
                .getTrustManagers(), null);
 
    }
 
    private  KeyStore getKeyStore(String keyStorePath, String password, String type)
            throws Exception {
 
        FileInputStream is = new FileInputStream(keyStorePath);
        KeyStore ks = KeyStore.getInstance(type);
        ks.load(is, password.toCharArray());
        is.close();
        return ks;
    }

總結

以上為個人經驗,希望能給大家一個參考,也希望大家多多支持腳本之家。

相關文章

最新評論

开封县| 丰宁| 南康市| 延吉市| 淳化县| 二连浩特市| 深水埗区| 桐柏县| 凭祥市| 腾冲县| 什邡市| 濮阳市| 临安市| 花垣县| 岳西县| 云林县| 泌阳县| 新密市| 夏河县| 凤凰县| 澄迈县| 通化县| 天长市| 滦南县| 报价| 十堰市| 遂平县| 黄石市| 西华县| 永寿县| 宁乡县| 宾川县| 鄯善县| 贵德县| 牡丹江市| 确山县| 海淀区| 沁水县| 五寨县| 康保县| 渝中区|