Java安全传输实践

最新推荐文章于 2024-06-12 23:49:44 发布
最新推荐文章于 2024-06-12 23:49:44 发布
阅读量366 收藏 1
点赞数
文章标签： Java Socket Exchange SUN 网络协议
传输层安全访问是通过身份验证和加密传输的过程。JDK的JSSE提供了传输层安全访问的实现。本文旨在通过一个完整的TLS通讯实例，辨析一个普遍的误导。


网络上停留在理论的简单实例通常存在一个误导。在双向信任的情况下，双方都需要信任对方的证书。这样的例子很多，普遍拷贝并简述过程。
其 实，在实践中发现，双方都信任一个权威的CA，并持有该CA根证书和该CA签发的证书，即可以信任对方，实现通讯，不需要对方证书。这样做的好处是，连接 方发生变动后，如果新的接入方也是CA签发认证的，即可认为可信。还有一个好处是，减少一个文件的部署(如果该通讯被重用在其他项目，或许这不是小事)。

〇 Scenario
ICM和UCGW是双向信任的两方，通过TLS通讯。CA是内部公信签证机构。

一 Certificate
签证流程：

0.CA自签证书作为其他设备的根证书
1.ICM和UCGW(两方流程一致，以下简称ICM)自签证书
2.向CA发送签发请求
这一步可以是发送一个CSR将公钥信息传递给CA
本例是将证书直接发给CA
3.CA为请求者签发证书
4.CA发送根证 书和 CA签发的证书 给请求者
5.ICM将CA根证书导入信任列表
6.ICM将CA签发的证书替换自己签发的证书

实现代码：

0.CA自签证书作为其他设备的根证书
CertInfo certInfo  =   new  CertInfo();
SelfSign selfs  =   new  SelfSign();
certInfo.setKeystore(CA_KEYSTORE);
certInfo.setAlias(CA_ALIAS);
certInfo.setCommonName( " mars_ca " );
selfs.sign(certInfo, CA_CER);

keytool -genkey -dname "CN=mars_ca, OU=rv, O=rcd, L=ZB, ST=bj, C=China" -alias root -keyalg RSA -keystore ca--ca.keystore -keypass 111111 -storepass 111111 -validity 60
keytool -export -alias root -keystore ca--ca.keystore -storepass 111111 -rfc -file ca--ca.cer
Certificate stored in file <ca--ca.cer>

keytool -list -keystore ca--ca.keystore -storepass 111111

Keystore type: JKS
Keystore provider: SUN

Your keystore contains 1 entry

root, May 24, 2011, PrivateKeyEntry,
Certificate fingerprint (MD5): 24:48:A3:4D:9F:EE:39:DE:8C:E7:51:60:7E:94:7A:76

 

1.ICM和UCGW(两方流程一致，以下简称ICM)自签证书
//  CertInfo certInfo = new CertInfo();
 //  SelfSign selfs = new SelfSign();
certInfo.setKeystore(ICM_KEYSTORE);
certInfo.setAlias(ICM_ALIAS);
certInfo.setCommonName( " mars_icm " );
selfs.sign(certInfo, ICM_CER);

//  SelfSign selfs = new SelfSign();
 //  CertInfo certInfo = new CertInfo();
certInfo.setKeystore(UCGW_KEYSTORE);
certInfo.setAlias(UCGW_ALIAS);
certInfo.setCommonName( " mars_UCGW " );
selfs.sign(certInfo, UCGW_CER);

keytool -genkey -dname "CN=mars_icm, OU=rv, O=rcd, L=ZB, ST=bj, C=China" -alias icm -keyalg RSA -keystore iview.keystore -keypass 111111 -storepass 111111 -validity 60
keytool -export -alias icm -keystore iview.keystore -storepass 111111 -rfc -file icm--icm.cer
Certificate stored in file <icm--icm.cer>

keytool -genkey -dname "CN=mars_UCGW, OU=rv, O=rcd, L=ZB, ST=bj, C=China" -alias ucgw -keyalg RSA -keystore ucgw.keystore -keypass 111111 -storepass 111111 -validity 60
keytool -export -alias ucgw -keystore ucgw.keystore -storepass 111111 -rfc -file ucgw--ucgw.cer
Certificate stored in file <ucgw--ucgw.cer>

keytool -export -alias ca_signed -keystore ca--ca_sign.keystore -storepass 111111 -rfc -file ca--icm.signed.cer
Certificate stored in file <ca--icm.signed.cer>

keytool -export -alias ca_signed -keystore ca--ca_sign.keystore -storepass 111111 -rfc -file ca--ucgw.signed.cer
Certificate stored in file <ca--ucgw.signed.cer>

 

keytool  - list  - keystore iview.keystore  - storepass  111111

Keystore type: JKS
Keystore provider: SUN

Your keystore contains  1  entry

 icm , May  24 ,  2011 , PrivateKeyEntry,
Certificate fingerprint (MD5):  78 :5C:AA:1B: 27 :9D:FB:3E:BE:1A:BD:6E:C5:A5: 25 :BD

keytool  - list  - keystore ucgw.keystore  - storepass  111111

Keystore type: JKS
Keystore provider: SUN

Your keystore contains  1  entry

 ucgw , May  24 ,  2011 , PrivateKeyEntry,
Certificate fingerprint (MD5): 7B: 88 : 44 : 27 : 88 : 66 :2D:6B: 64 :E3:D5: 34 :4A: 03 :DA:8F

 

2.向CA发送签发请求
3.CA为请求者签发证书
CASign cas  =   new  CASign();
cas.sign(ICM_CER, ICM_SIGN_CER, CASIGN_KEYSTORE);
 cas.sign(UCGW_CER, UCGW_SIGN_CER, CASIGN_KEYSTORE);

 

5.ICM将CA根证书导入信任列表
6.ICM将CA签发的证书替换自己签发的证书
CertImport im  =   new  CertImport();
im.importCA(ICM_KEYSTORE);
im.importSign(ICM_ALIAS, ICM_SIGN_CER, ICM_KEYSTORE);
im.importCA(UCGW_KEYSTORE);
im.importSign(UCGW_ALIAS, UCGW_SIGN_CER, UCGW_KEYSTORE);
keytool -importcert -noprompt -alias root -file ca--ca.cer -keystore iview.keystore -storepass 111111
Certificate was added to keystore

keytool -importcert -noprompt -trustcacerts -alias icm -file ca--icm.signed.cer -keystore iview.keystore -storepass 111111 -keypass 111111
Certificate reply was installed in keystore

keytool -importcert -noprompt -alias root -file ca--ca.cer -keystore ucgw.keystore -storepass 111111
Certificate was added to keystore

keytool -importcert -noprompt -trustcacerts -alias ucgw -file ca--ucgw.signed.cer -keystore ucgw.keystore -storepass 111111 -keypass 111111
Certificate reply was installed in keystore

 

keytool  - list  - keystore iview.keystore  - storepass  111111

Keystore type: JKS
Keystore provider: SUN

Your keystore contains  2  entries

 root , May  24 ,  2011 , trustedCertEntry,
Certificate fingerprint (MD5):  24 : 48 :A3:4D:9F:EE: 39 :DE:8C:E7: 51 : 60 :7E: 94 :7A: 76
icm , May  24 ,  2011 , PrivateKeyEntry, 
Certificate fingerprint (MD5):  18 :D9: 40 :BD: 65 :6C:4D:B9:F3: 87 :2B: 09 : 63 :CD:F0:7A

keytool  - list  - keystore ucgw.keystore  - storepass  111111

Keystore type: JKS
Keystore provider: SUN

Your keystore contains  2  entries

 root , May  24 ,  2011 , trustedCertEntry,
Certificate fingerprint (MD5):  24 : 48 :A3:4D:9F:EE: 39 :DE:8C:E7: 51 : 60 :7E: 94 :7A: 76
ucgw , May  24 ,  2011 , PrivateKeyEntry, 
Certificate fingerprint (MD5): 2A:3D:3F:A6:E3:2F: 36 :B9: 71 :CD:AB:1D:9F: 19 :8A: 49


二 TLS
这里以ICM作为服务器端，UCGW作为客户端。
方式一：加载keystore到环境变量，启用默认工厂SSL-Server-Socket-Factory

public   class  SSLServer {
     public   static   void  main(String args[])  throws  Exception {
        System.setProperty( " javax.net.ssl.keyStore " , TLSParameter.ICM_KEYSTORE);
        System.setProperty( " javax.net.ssl.keyStorePassword " , TLSParameter.S_KEY_PASS);
        
        SSLServerSocketFactory ssf  =  (SSLServerSocketFactory) SSLServerSocketFactory.getDefault();
        ServerSocket ss  =  ssf.createServerSocket(TLSParameter.SSLPORT);
        System.out.println( " SSL Server is started. " );
         while  ( true ) {
            Socket s  =  ss.accept();
            PrintStream out  =   new  PrintStream(s.getOutputStream());
            out.println( " ICM say Hello to UCGW! " );
            out.close();
            s.close();
        }
    }
}

 

public   class  SSLClient {

     public   static   void  main(String args[])  throws  Exception {
        System.setProperty( " javax.net.ssl.trustStore " , TLSParameter.UCGW_KEYSTORE);
        SSLSocketFactory ssf  =  (SSLSocketFactory) SSLSocketFactory.getDefault();
        Socket s  =  ssf.createSocket(TLSParameter.IP, TLSParameter.SSLPORT);
        BufferedReader in  =   new  BufferedReader( new  InputStreamReader(s.getInputStream()));
        String x  =  in.readLine();
        System.out.println(x);
        in.close();
    }
}


方式二：设置SSLContext，通过上下文实例启用SSL-Server-Socket-Factory

public   class  SSLServer1 {
     public   static   void  main(String args[])  throws  Exception {
        SSLContext sslContext  =  SSLContext.getInstance(PROTOCOL);
        KeyManager[] km  =  TLSSocket.createKeyManagers(keyStoreType, ICM_KEYSTORE);
        TrustManager[] tm  =  TLSSocket.createTrustManagers(keyStoreType, ICM_KEYSTORE);
        SecureRandom random  =  SecureRandom.getInstance(SHA1PRNG);
        sslContext.init(km, tm, random);
        
        SSLServerSocketFactory factory  =  sslContext.getServerSocketFactory();        
        ServerSocket ss  =  (SSLServerSocket) factory.createServerSocket(SSLPORT);
        System.out.println( " SSL Server is started. " );
         while  ( true ) {
            Socket s  =  ss.accept();
            PrintStream out  =   new  PrintStream(s.getOutputStream());
            out.println( " ICM say Hello to UCGW! " );
            out.close();
            s.close();
        }
    }
}

 

public   class  SSLClient1 {

     public   static   void  main(String args[])  throws  Exception {
        SSLContext sslContext  =  SSLContext.getInstance(PROTOCOL);
        KeyManager[] km  =  TLSSocket.createKeyManagers(keyStoreType, UCGW_KEYSTORE);
        TrustManager[] tm  =  TLSSocket.createTrustManagers(keyStoreType, UCGW_KEYSTORE);
        SecureRandom random  =  SecureRandom.getInstance(SHA1PRNG);
        sslContext.init(km, tm, random);
        SSLSocketFactory factory  =  sslContext.getSocketFactory();

        System.out.println( " TLS Client, Connecting to server  "   +  IP  +   " :  "   +  SSLPORT);
        SSLSocket socket  =  (SSLSocket) factory.createSocket(IP, SSLPORT);
        socket.setUseClientMode( true );

        BufferedReader in  =   new  BufferedReader( new  InputStreamReader(socket.getInputStream()));
        String x  =  in.readLine();
        System.out.println(x);
        in.close();
    }
}


三 Summary
ICM和UCGW共同信任CA，各自持有CA根证书和CA签发的自身证书，通过TLS协议实现传输层的安全通讯。
双向信任的两方无需持有对方证书。

四 EasterEgg
运行结果：
服务器端：

SSL Server is started.
client端：
ICM say Hello to UCGW!


网络包分析(工具：Wireshark)

1.抓取本地通信：route add 192.168.225.166 mask 255.255.255.255 192.168.225.254 metric 1

Connection-specific DNS Suffix  . :
IP Address. . . . . . . . . . . . : 192.168.225.166
Subnet Mask . . . . . . . . . . . : 255.255.255.0
IP Address. . . . . . . . . . . . : fe80::225:64ff:feb3:88dc%4
Default Gateway . . . . . . . . . : 192.168.225.254


2.设置过滤器

Filter:
ip.addr==192.168.225.166

Decode As:
transport = SSL

Filter:
ip.addr==192.168.225.166&&ssl


3.结果和分析


测试完毕 请删除本地IP：(reference: http://hi.baidu.com/btb368/blog/item/098d36acfbc837014b36d6cd.html)

route delete 192.168.225.166

Export File:
No.     Time        Source                Destination           Protocol Info
     217   12.022322     192.168 . 225.166         192.168 . 225.166        SSLv2    Client Hello
Transmission Control Protocol,  Src Port: prp ( 2091 ), Dst Port:  9527  ( 9527 ) , Seq:  1 , Ack:  1 , Len:  103
Secure Socket Layer
    SSLv2 Record Layer: Client Hello

No.     Time        Source                Destination           Protocol Info
     219   12.024335     192.168 . 225.166         192.168 . 225.166        TLSv1    Server Hello, Certificate, Server Hello Done
Transmission Control Protocol,  Src Port:  9527  ( 9527 ), Dst Port: prp ( 2091 ) , Seq:  1 , Ack:  104 , Len:  1210
Secure Socket Layer
    TLSv1 Record Layer: Handshake Protocol: Multiple Handshake Messages

No.     Time        Source                Destination           Protocol Info
     221   12.036842     192.168 . 225.166         192.168 . 225.166        TLSv1    Client Key Exchange
Transmission Control Protocol,  Src Port: prp ( 2091 ), Dst Port:  9527  ( 9527 ) , Seq:  104 , Ack:  1211 , Len:  139
Secure Socket Layer
    TLSv1 Record Layer: Handshake Protocol: Client Key Exchange
 
No.     Time        Source                Destination           Protocol Info
     225   12.161312     192.168 . 225.166         192.168 . 225.166        TLSv1    Change Cipher Spec, Encrypted Handshake Message
Transmission Control Protocol,  Src Port: prp ( 2091 ), Dst Port:  9527  ( 9527 ) , Seq:  243 , Ack:  1211 , Len:  43
Secure Socket Layer
    TLSv1 Record Layer: Change Cipher Spec Protocol: Change Cipher Spec
    TLSv1 Record Layer: Handshake Protocol: Encrypted Handshake Message

No.     Time        Source                Destination           Protocol Info
     227   12.165380     192.168 . 225.166         192.168 . 225.166        TLSv1    Change Cipher Spec
Transmission Control Protocol,  Src Port:  9527  ( 9527 ), Dst Port: prp ( 2091 ) , Seq:  1211 , Ack:  286 , Len:  6
Secure Socket Layer
    TLSv1 Record Layer: Change Cipher Spec Protocol: Change Cipher Spec

No.     Time        Source                Destination           Protocol Info
     229   12.165965     192.168 . 225.166         192.168 . 225.166        TLSv1    Encrypted Handshake Message, Application Data, Application Data, Encrypted Alert
Transmission Control Protocol,  Src Port:  9527  ( 9527 ), Dst Port: prp ( 2091 ) , Seq:  1217 , Ack:  286 , Len:  126
Secure Socket Layer
    TLSv1 Record Layer: Handshake Protocol: Encrypted Handshake Message
    TLSv1 Record Layer: Application Data Protocol: Application Data
    TLSv1 Record Layer: Application Data Protocol: Application Data
    TLSv1 Record Layer: Encrypted Alert

No.     Time        Source                Destination           Protocol Info
     233   12.166930     192.168 . 225.166         192.168 . 225.166        TLSv1    Encrypted Alert
Transmission Control Protocol,  Src Port: prp ( 2091 ), Dst Port:  9527  ( 9527 ) , Seq:  286 , Ack:  1344 , Len:  23
Secure Socket Layer
    TLSv1 Record Layer: Encrypted Alert

iteye_2573
关注
  • 0
    点赞
  • 踩
  • 1
    收藏
    觉得还不错? 一键收藏
  • 0
    评论
刘志乐：Java开发安全实践
05-29
9月23-25日，中国规模最大的信息安全专业会议——2013中国互联网安全大会(ISC)在北京国家会议中心举行。著名安全专家、OWASP中国分会委员刘志乐现场分享Java开发中的10大最新安全风险。　
java安全之java-web1
08-03
然而，作为Java安全专家，还需要关注其他安全层面，如服务器配置、数据库安全、加密算法的选择以及应用程序的漏洞扫描和更新。 总之，Java Web安全涉及到许多层次的技术和策略，从基础的Servlet编程到高级的框架...
(收藏）10 个你必须知道的 Java 安全最佳实践
jackyrongvip的专栏
11-25 750
1.用查询参数化防止注入 在2017版OWASP十大漏洞中，注入攻击在当年名列前茅。查看典型的Java SQL注入，会发现查询参数拼接进了SQL语句。下面Java代码执行的SQL非常不安全，攻击者会利用它来获取设定之外的信息。 public void selectExample(String parameter) throws SQLException { Conne...
Java应用中文件上传安全性分析与安全实践
最新发布
喔的嘛呀的博客
06-12 1304
这些措施涵盖了文件路径、文件权限、目录结构、Web服务器配置等多个方面，为开发人员提供了一套全面的指南，以确保文件上传功能不仅方便实用，而且具备较高的安全性。在现代Web应用程序中，数据上传是一个普遍存在的需求，然而，随之而来的是对上传数据安全性的担忧。通过检查文件的扩展名或使用浏览器提供的API验证文件的类型，可以在文件上传之前排除不安全的文件。在Web服务器的配置中，确保上传目录是禁止目录浏览的。客户端与服务端的数据验证是确保上传数据安全性的重要步骤，可以通过一系列验证手段来防范潜在的安全威胁。
java安全实践
Edward_qing_Lee的专栏
04-01 823
一、policy编写问题 环境：window8.1，jdk7    直接附上测试代码： public class PermissionTest { public static void main(String[] args) { OutputStream os = null; try { os = new FileOutputStream("hehe.txt");
10_Java安全_实践
一步一个脚印的专栏
08-31 1162
10_Java安全_实践
TestSocket_java.zip_java文件传输
09-21
在实际应用中，我们还需要考虑错误处理、资源管理（关闭流和Socket）、并发处理（多个客户端同时连接）以及安全性（加密传输，防止中间人攻击）等问题。对于大型项目，可能还会涉及负载均衡、服务发现等高级网络编程...
Java安全知识点总结
04-20
Java安全知识点涵盖了一系列与Java编程和应用程序开发相关的安全概念、实践和技术。以下是一些常见的Java安全知识点： 输入验证：在Java应用程序中，输入验证是非常重要的安全措施，以防止用户提供恶意或恶意格式化...
JAVA文件传输(论文+源代码).rar
11-21
5. **安全传输**：通过SSL/TLS协议实现加密传输，保护文件在传输过程中的安全性。 6. **错误处理和重试机制**：在文件传输过程中，可能会遇到各种异常情况，如网络中断、文件丢失等，需要有合理的错误处理和重试...
java socket传输demo
06-08
Java Socket编程是网络编程中的重要一环，它...总之，Java Socket编程是构建网络应用程序的基础，通过理解并实践"java socket传输demo"，开发者可以掌握网络通信的基本原理，为进一步开发复杂的网络应用打下坚实基础。
java-web文件上传下载，可解决多个安全访问问题
01-06
文件上传下载，可解决多个安全访问问题。 文件上传的细节： 1. 为保证服务器安全，上传文件应该放在外界无法直接访问的目录下，比如放于WEB-INF目录下。 2. 为防止文件覆盖的现象发生，要为上传文件产生一个唯一的文件名。 3. 为防止一个目录下面出现太多文件，要使用hash算法打散存储。 4. 要限制上传文件的最大值。 5. 要限制上传文件的类型，在收到上传文件名时，判断后缀名是否合法。 博客：http://blog.csdn.net/qq_37902949/article/details/78986446
10个Java安全最佳实践
专业的开发者“讨论”
04-23 256
In this cheat sheet edition, we’re going to focus on ten Java security best practices for both open source maintainers and developers. Although most developers understand that secure ...
HTTPS 网络安全传输协议下的访问
要么庸俗,要么孤独
05-24 646
HTTPS = HTTP(超文本传输协议) + SSL (安全连接层) HTTP 的安全版本. HTTPS 会专门建立一个 安全的数据传输通道来传输数据,外界拿不到任何数据,现阶段最安全的协议，目前在 http 模式下三大运营商发送的恶意广告泛滥，并且可以获得用户的个人信息，知乎有专门文章讲解如何到工信部投诉的内容。 HTTPS 需要数字验证,目前很多大公司使用的数字验证都是默认支持的
什么是TLS协议(传输层安全)
tianjin1986lin的专栏
11-28 3881
什么是TLS协议(传输层安全)? TLS (Transport Layer Security), defined in RFC 2246 , is a protocol for establishing a secure connection between a client and a server. TLS协议(传输层安全),RFC2246定义,是为在客户机和服务器之间建立一个安全连
SSL/STL是什么？怎么工作的？Keystore 和 Truststore是什么？
Harry的博客
02-19 2547
安全套接字层（Secure Sockets Layer），也称为 SSL，是一种加密协议(encryption protocol)，可在 Internet 上的设备之间创建身份验证的通道(authenticated channel)，以便可以安全地共享信息。本质上，SSL 将“s”放在以“https://”开头的 URL 中，这意味着您与服务器之间的连接是安全的。 SSL 一直是网站的安全标准，直到 1999 年，更新的协议传输层安全 (TLS) 取代了它。尽管现代网站实际上使用了 TLS，但 SSL 仍
SSL和TLS-SSL Record Protocol
weixin_43364172的博客
11-07 2496
SSL和TLS-SSL Record ProtocolKey ExchangeMessage AuthenticationEncryptionSSL Record Header SSL记录协议用来封装高层协议数据，它把数据分成可管理的片段，叫做fragments，然后单独处理。 每个fragment根据SSL session的压缩算法和加密模式做压缩和加密保护处理。 SSL记录处理过程可分为好几...
转：Linux openssl 生成证书的详解
zfr_xuexiao66的博客
09-10 1297
本文转载自：https://blog.csdn.net/qq_15092079/article/details/82149807 感谢作者的付出。 Linux openssl 生成证书的详解 叶梦_ 2018-08-28 20:55:03 33609 已收藏 38 分类专栏： openssl 版权 目录 前言 1 概念 2 环境 3 创建根证书CA 4 颁发证书 4.1 在需要证书的服务器上，生成证书签署请求 4.2 在根证书服务器上，颁发证书 5 测试 5.1
计算机下SSL安全网络通信
左手の明天的博客
12-14 1704
SSL安全网络通信SSL安全套接层通信过程SSL通讯建立后绕过浏览器校验SSL的工作原理中包含三个协议1、握手协议2、记录协议3、警报协议证书的工作流程服务器端代码实现客服端代码实现资源传送门「❤️ 感谢大家」 SSL安全套接层 SSL安全套接层（Secure Socket Layer） 为Netspace所研发，用以保证在Internet上数据传输的完整性和保密性，目前版本为3.0，最新版本为TLS1.2安全传输层协议（Transport Layer Security）。TLS和SSL两者差别极小可以将其

“相关推荐”对你有帮助么？

  • 非常没帮助
  • 没帮助
  • 一般
  • 有帮助
  • 非常有帮助
提交
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值