本文需要读者对mina和SSl原理有一定的了解,所以本文中对mina和SSL的原理,不做详细的介绍。
TSL/SSL双向认证连接:Server端和Client端通信,需要进行授权和身份的验证,即Client只能接受Server的消息,Server只能接受Client的消息。这样就可以在客户机和服务器之间通过TCP/IP协议安全地传输数据。
在mina中实现TSL/SSL双向认证连接,本人目前所知有三种方式:
1.Server端和Client端各自拥有自签名的私有密钥证书,重写的 javax.net.ssl.X509TrustManager接口中的三个方法实现Server端和Client端信认证书。
2.Server端和Client端各自拥有自签名的私有密钥证书,并且互相交换公钥,通过对方公钥互相信认对方证书。
3.Server端和Client端各自拥有可信认的第三方认证机构(CA)签名私有密钥证书,通过CA互相信认对方证书。
以上三种方式,实现复杂度从低到高,灵活度安全性也从低到高。本系列文章将将会从简到难分别介绍三种方式的TSL/SSL双向认证连接。
下面我们介绍第一种实现方式:Server端和Client端各自拥有自签名的私有密钥证书,重写的 javax.net.ssl.X509TrustManager接口中的三个方法实现Server端和Client端信认证书。
首先,创建Server端和Client端各自的私有密钥证书,在这里使用keytool,关于keytool的使用在这里不作详细介绍,请参考它处。
1.创建Server端KeyStore文件serverKeys.jks,包含一个用于服务器的证书 :
引用
keytool -genkey -alias server -keysize 1024 -validity 3650 -keyalg RSA -dname "CN=sundoctor.com, OU=Developer,O=Techstar, L=Beijing, S=Beijing, C=CH" -keypass 123456 -storepass 123456 -keystore serverKeys.jks
2.创建Client端KeyStore文件clientKeys.jks,分别包含用于虚构的通信者 Alice 和 Bob 的证书 :
引用
keytool -genkey -alias alice -keysize 1024 -validity 3650 -keyalg RSA -dname "CN=Aclie, OU=Developer,O=Techstar, L=Beijing, S=Beijing, C=CH" -keypass 123456 -storepass 123456 -keystore clientKeys.jks
keytool -genkey -alias bob -keysize 1024 -validity 3650 -keyalg RSA -dname "CN=Bob, OU=Developer,O=Techstar, L=Beijing, S=Beijing, C=CH" -keypass 123456 -storepass 123456 -keystore clientKeys.jks
其次重写的 javax.net.ssl.X509TrustManager接口中的三个方法实现Server端和Client端信认证书,代码中BogusTrustManagerFactory类有关X509TrustManager实现的片断,具体参考源码
static final X509TrustManager X509 = new X509TrustManager() {
/**
* 确认和信任将其用于基于身份验证类型的客户端 SSL 身份验证
*/
public void checkClientTrusted(X509Certificate[] x509Certificates, String s) throws CertificateException {
if (x509Certificates == null || x509Certificates.length == 0)
throw new IllegalArgumentException("null or zero-length certificate chain");
if (s == null || s.length() == 0)
throw new IllegalArgumentException("null or zero-length authentication type");
boolean br = false;
Principal principal = null;
for (X509Certificate x509Certificate : x509Certificates) {
principal = x509Certificate.getSubjectDN();
if (principal != null && (StringUtils.contains(principal.getName(), "Alice") || StringUtils.contains(principal.getName(), "Bob"))) {
br = true;
return;
}
}
if (!br) {
throw new CertificateException("连接认证失败!");
}
}
/**
* 确认和信任将其用于基于身份验证类型的服务器 SSL 身份验证
*/
public void checkServerTrusted(X509Certificate[] x509Certificates, String s) throws CertificateException {
if (x509Certificates == null || x509Certificates.length == 0)
throw new IllegalArgumentException("null or zero-length certificate chain");
if (s == null || s.length() == 0)
throw new IllegalArgumentException("null or zero-length authentication type");
boolean br = false;
Principal principal = null;
for (X509Certificate x509Certificate : x509Certificates) {
principal = x509Certificate.getSubjectDN();
if (principal != null && (StringUtils.contains(principal.getName(), "sundoctor.com"))) {
br = true;
return;
}
}
if (!br) {
throw new CertificateException("连接认证失败!");
}
}
public X509Certificate[] getAcceptedIssuers() {
return new X509Certificate[0];
}
};
在这里checkClientTrusted(X509Certificate[] x509Certificates, String s)验证客户端证书,在这里只是简单的验证一下客户端证书CN是否为Alice或Bob, checkServerTrusted(X509Certificate[] x509Certificates, String s)验证服务端证书,这里只是简单的验证一下服务端的CN是否为sundoctor.com。更复杂的验证,大家可以自行实现。
最后是创建服务端和客户端SSLContext工厂类,分别初始化服务端和客户端的SSLContext
// Initialize the SSLContext to work with our key managers.
SSLContext sslContext = SSLContext.getInstance(PROTOCOL);
sslContext.init(getKeyManagers(serverKeys, serverKeysPassword), BogusTrustManagerFactory.X509_MANAGERS, null);
初始化SSLContext需要KeyManagers和TrustManager,TrustManager参见BogusTrustManagerFactory,使用serverKeys.jks、clientKeys.jks分别构建服务端和客户端KeyManagers
private static KeyManager[] getKeyManagers(String keysfile, String password) throws GeneralSecurityException,
IOException {
// First, get the default KeyManagerFactory.
KeyManagerFactory kmf = KeyManagerFactory.getInstance(KEY_MANAGER_FACTORY_ALGORITHM);
// Next, set up the TrustStore to use. We need to load the file into
// a KeyStore instance.
KeyStore ks = KeyStore.getInstance("JKS");
InputStream in = BogusSslContextFactory.class.getResourceAsStream(keysfile);
ks.load(in, password.toCharArray());
in.close();
// Now we initialise the KeyManagerFactory with this KeyStore
kmf.init(ks, password.toCharArray());
// And now get the TrustManagers
return kmf.getKeyManagers();
}
服务端(TLSServer)和客户端(TLSClient)测试代码比较简单,具体请参考源码,在这里有一点需要注意的就是在服务端添加加密过滤器 SslFilter时必须设置为:sslFilter.setNeedClientAuth(true),需要验证客户端证书。
源码中还包括了一个spring版本的TLSServerSpring、TSLClientSpring服务端、客户端测试类。
分享到:
相关推荐
NULL 博文链接:https://sariel.iteye.com/blog/470383
MINA入门实例,实现长连接,短连接通讯。
mina server开发服务端/客户端代码,供大家一起共同分享学习。
mina 通讯 实现server端与基于Android系统的client端通讯
本源码是《NIO框架入门(三):iOS与MINA2、Netty4的跨平台UDP双向通信实战》一文的服务端实现(MINA2版),详见:http://www.52im.net/thread-378-1-1.html
基于Apache Mina实现的TCP长连接和短连接实例.doc
使用方法见:https://blog.csdn.net/upset_ming/article/details/96491058 1. 修改了前一版本中证书验证的bug,支持JDK8的高版本 2. 支持国密SSL双向认证 3. 将过期的国密证书替换为新证书
1.mina socket客户度工程相关类,添加mina jar包后可独立运行。 2.mina若有空闲连接则使用已有连接,若无则新建mina连接; 3.mina空闲连接超过保活时间25分钟后,自动删除; 4.mina发送指令后,接收指定时长内收到的...
使用MINA实现长连接
这是我学习apache mina框架中研究ssl过滤器u做的一个测试的例子。希望对于刚刚学习mina框架的朋友有所帮助。如果有什么疑问可以发送到我的emai:pengli.bj@163.com与我联系
mina连接,mina心跳连接,mina断线重连。其中客户端可直接用在android上。根据各方参考资料,经过自己的理解弄出来的。CSDN的资源分太难得了。
完整的mina双向通信demo,实现了客户端与服务端之间相互发送消息。目前只支持发送输入的字符串。demo中有详细的注释,可以直接运行。运行环境(myeclipse+tomcat7.0)
自己写的demo,完成了mina的双向通信功能,比较简单的一个demo,扩展性强
我自己写的使用mina框架实现cmpp2.0服务端,经过一段使用解决了几个bug现在比较稳定。
mina实现简单的登录功能,详细见博客:http://blog.csdn.net/guozeming122/article/details/18605937
Mina长连接短连接实例包含Minaclient工程和MinaHost工程,另外还有几个文档,相信对理解这两个工程有很大的帮助
mina 长连接 客户端+服务端 实现长连接可以收发消息正确部署可以使用需要的朋友可以下载看看
实现了mina 的简单通信通信,内部配置了累积协议编解码器、工具类和客户端与服务端的端口配置。能够实现基本功能,下载完成需要四个基本jar包才能实现功能。我的博客上有相应资源支持下载。
本源码是《NIO框架入门(二):服务端基于MINA2的UDP双向通信Demo演示》一文的MINA2服务端源码实现,详见:http://www.52im.net/thread-373-1-1.html