1. 概述
HTTPS是HTTP协议的扩展,用于在计算机网络中确保两个实体之间的安全通信。HTTPS通过TLS(传输层安全)协议实现安全连接。
TLS支持单向或双向证书验证。在单向验证中,服务器分享其公钥,以便客户端验证其是否是可信服务器。另一种方式是双向验证。客户端和服务器都分享他们的公钥来相互验证身份。
本文将重点介绍双向证书验证,其中服务器也会检查客户端的证书。
2. Java与TLS版本
TLS 1.3是该协议的最新版本,它性能更高、安全性更强。它具有更高效的握手协议,并使用现代加密算法。
Java从Java 11开始支持此版本的协议。我们将使用这个版本来生成证书并实现一个简单的客户端-服务器对,它们将使用TLS进行身份验证。
3. 在Java中生成证书
由于我们正在做双向TLS身份验证,因此需要为客户端和服务器生成证书。
在生产环境中,建议从证书颁发机构购买证书。然而,为了测试或演示目的,使用自签名证书就足够了。本文中,我们将使用Java的keytool
来生成自签名证书。
3.1. 服务器证书
首先,我们生成服务器密钥存储:
keytool -genkey -alias serverkey -keyalg RSA -keysize 2048 -sigalg SHA256withRSA -keystore serverkeystore.p12 -storepass password -ext san=ip:127.0.0.1,dns:localhost
我们使用keytool -ext
选项设置主题替代名称(Subject Alternative Names,SAN),定义标识服务器的本地主机名/IP地址。通常,我们可以使用此选项指定多个地址,但客户端将被限制只能使用其中一个地址连接到服务器。
接下来,我们将证书导出到文件server-certificate.pem
:
keytool -exportcert -keystore serverkeystore.p12 -alias serverkey -storepass password -rfc -file server-certificate.pem
最后,我们将服务器证书添加到客户端的信任存储:
keytool -import -trustcacerts -file server-certificate.pem -keypass password -storepass password -keystore clienttruststore.jks
3.2. 客户端证书
类似地,我们生成客户端密钥存储并导出其证书:
keytool -genkey -alias clientkey -keyalg RSA -keysize 2048 -sigalg SHA256withRSA -keystore clientkeystore.p12 -storepass password -ext san=ip:127.0.0.1,dns:localhost
keytool -exportcert -keystore clientkeystore.p12 -alias clientkey -storepass password -rfc -file client-certificate.pem
keytool -import -trustcacerts -file client-certificate.pem -keypass password -storepass password -keystore servertruststore.jks
在最后一个命令中,我们将客户端的证书添加到服务器信任存储中。
4. 服务器Java实现
使用Java套接字,服务器实现非常简单。SSLSocketEchoServer
类获取SSLServerSocket
以轻松支持TLS身份验证。我们只需要指定密码和协议,其余的只是一个标准的回显服务器,它会回复客户端发送的消息:
public class SSLSocketEchoServer {
static void startServer(int port) throws IOException {
ServerSocketFactory factory = SSLServerSocketFactory.getDefault();
try (SSLServerSocket listener = (SSLServerSocket) factory.createServerSocket(port)) {
listener.setNeedClientAuth(true);
listener.setEnabledCipherSuites(new String[] { "TLS_AES_128_GCM_SHA256" });
listener.setEnabledProtocols(new String[] { "TLSv1.3" });
System.out.println("listening for messages...");
try (Socket socket = listener.accept()) {
InputStream is = new BufferedInputStream(socket.getInputStream());
byte[] data = new byte[2048];
int len = is.read(data);
String message = new String(data, 0, len);
OutputStream os = new BufferedOutputStream(socket.getOutputStream());
System.out.printf("server received %d bytes: %s%n", len, message);
String response = message + " processed by server";
os.write(response.getBytes(), 0, response.getBytes().length);
os.flush();
}
}
}
}
服务器监听客户端连接。调用listener.setNeedClientAuth(true)
要求客户端向服务器共享其证书。在后台,SSLServerSocket
实现使用TLS协议验证客户端。
在我们的例子中,自签名的客户端证书在服务器信任存储中,以便套接字可以接受连接。服务器使用输入流读取消息,然后使用输出流回显接收到的消息并附加确认。
5. 客户端Java实现
客户端的实现方式与服务器相同,是一个简单的SSLSocketClient
类:
public class SSLScocketClient {
static void startClient(String host, int port) throws IOException {
SocketFactory factory = SSLSocketFactory.getDefault();
try (SSLSocket socket = (SSLSocket) factory.createSocket(host, port)) {
socket.setEnabledCipherSuites(new String[] { "TLS_AES_128_GCM_SHA256" });
socket.setEnabledProtocols(new String[] { "TLSv1.3" });
String message = "Hello World Message";
System.out.println("sending message: " + message);
OutputStream os = new BufferedOutputStream(socket.getOutputStream());
os.write(message.getBytes());
os.flush();
InputStream is = new BufferedInputStream(socket.getInputStream());
byte[] data = new byte[2048];
int len = is.read(data);
System.out.printf("client received %d bytes: %s%n", len, new String(data, 0, len));
}
}
}
首先,我们创建一个SSLSocket
,它与服务器建立连接。在后台,套接字将设置TLS连接建立握手。作为握手的一部分,客户端将验证服务器的证书,并检查它是否在客户端的信任存储中。
一旦连接成功建立,客户端将使用输出流向服务器发送消息,然后使用输入流读取服务器的响应。
6. 运行应用程序
要运行服务器,请打开命令提示符并运行:
java -Djavax.net.ssl.keyStore=/path/to/serverkeystore.p12 \
-Djavax.net.ssl.keyStorePassword=password \
-Djavax.net.ssl.trustStore=/path/to/servertruststore.jks \
-Djavax.net.ssl.trustStorePassword=password \
com.baeldung.httpsclientauthentication.SSLSocketEchoServer
我们指定javax.net.ssl.**keystore
和javax.net.ssl.**trustStore
系统属性,指向我们之前用keytool
创建的serverkeystore.p12
和servertruststore.jks
文件。
要运行客户端,我们在另一个命令提示符窗口中运行:
java -Djavax.net.ssl.keyStore=/path/to/clientkeystore.p12 \
-Djavax.net.ssl.keyStorePassword=password \
-Djavax.net.ssl.trustStore=/path/to/clienttruststore.jks \
-Djavax.net.ssl.trustStorePassword=password \
com.baeldung.httpsclientauthentication.SSLScocketClient
同样,我们将javax.net.ssl.keyStore
和javax.net.ssl.**trustStore
系统属性设置为指向我们之前用keytool
生成的clientkeystore.p12
和clienttruststore.jks
文件。
7. 总结
我们编写了一个简单的客户端-服务器Java实现,使用服务器和客户端证书进行双向TLS身份验证。
我们使用keytool
生成了自签名证书。
示例代码可以在GitHub上找到。