SSL Demo说明

1.单向ssl和双向ssl
网上有些例子可以参考：
http://www.yeeach.com/digg/story/11964
http://www.bluedash.net/spaces/SSL介绍与Java实例
第一步: 客户端发送ClientHello消息，发起SSL连接请求，告诉服务器自己支持的SSL选项（加密方式等）。
单向SSL：
1 *** ClientHello, TLSv1
第二步: 服务器响应请求，回复ServerHello消息，和客户端确认SSL加密方式：
1 *** ServerHello, TLSv1
第三步: 服务端向客户端发布自己的公钥。
第四步: 客户端与服务端的协通沟通完毕，服务端发送ServerHelloDone消息：
1 *** ServerHelloDone
第五步: 客户端使用服务端给予的公钥，创建会话用密钥（SSL证书认证完成后，为了提高性能，所有的信息交互就可能会使用对称加密算法），并通过ClientKeyExchange消息发给服务器：
1 *** ClientKeyExchange, RSA PreMasterSecret, TLSv1
第六步： 客户端通知服务器改变加密算法，通过ChangeCipherSpec消息发给服务端：
1 main, WRITE: TLSv1 Change Cipher Spec, length = 1
第七步： 客户端发送Finished消息，告知服务器请检查加密算法的变更请求：
1 *** Finished
第八步：服务端确认算法变更，返回ChangeCipherSpec消息
1 main, READ: TLSv1 Change Cipher Spec, length = 1
第九步：服务端发送Finished消息，加密算法生效：
1 *** Finished
那么如何让服务端也认证客户端的身份，即双向握手呢？其实很简单，在服务端代码中，把这一行：
1 ((SSLServerSocket) _socket).setNeedClientAuth(false);
改成：
1 ((SSLServerSocket) _socket).setNeedClientAuth(true);
就可以了。但是，同样的道理，现在服务端并没有信任客户端的证书，因为客户端的证书也是自己生成的。所以，对于服务端，需要做同样的工作：把客户端的证书导出来，并导入到服务端的证书仓库。


双向SSL
在 *** ServerHelloDone 之前，服务端向客户端发起了需要证书的请求 *** CertificateRequest 。
在客户端向服务端发出 Change Cipher Spec 请求之前，多了一步客户端证书认证的过程
*** CertificateVerify 。


编码注意：
System.setProperty("javax.net.ssl.trustStore", SERVER_TRUST_STORE);//在双向SSL才需要，用于对方的证书
System.setProperty("javax.net.debug", "ssl,handshake");//打开SSL握手的日志
((SSLServerSocket) _socket).setNeedClientAuth(true);//是否启用双向SSL认证
context.init(kf.getKeyManagers(), tms, null); //tms参数为TrustManager[],可以自定义，也可以从keystore构造
自定义的例子：


package org.young.ssl; import java.io.BufferedInputStream; import java.io.FileInputStream; import java.security.cert.CertificateException; import java.security.cert.CertificateFactory; import java.security.cert.X509Certificate; import java.util.ArrayList; import java.util.List; import javax.net.ssl.X509TrustManager; public class TestX509TrustManager implements X509TrustManager { private static String SERVER_KEY_STORE_PASSWORD = "654321"; @Override public void checkClientTrusted(X509Certificate[] chain, String authType) throws CertificateException { System.out.println("checkClientTrusted"); System.out.println(authType); System.out.println(chain); } @Override public void checkServerTrusted(X509Certificate[] chain, String authType) throws CertificateException { // TODO Auto-generated method stub System.out.println("checkServerTrusted"); } @Override public X509Certificate[] getAcceptedIssuers() { X509Certificate[] chain = null; try { // TrustManagerFactory tmf = TrustManagerFactory.getInstance("SunX509"); // KeyStore tks = KeyStore.getInstance("JKS"); // tks.load(new FileInputStream("D:/work/j2eeproject/ssl-demo/store/server/tserver.keystore"), // SERVER_KEY_STORE_PASSWORD.toCharArray()); // tmf.init(tks); // chain = ((X509TrustManager) tmf.getTrustManagers()[0]).getAcceptedIssuers(); //or FileInputStream fis = new FileInputStream("D:/work/j2eeproject/ssl-demo/store/server/tserver.keystore"); BufferedInputStream bis = new BufferedInputStream(fis); CertificateFactory cf = CertificateFactory.getInstance("X.509"); List<X509Certificate> list = new ArrayList<X509Certificate>(); while (bis.available() > 0) { X509Certificate c = (X509Certificate) cf.generateCertificate(bis); list.add(c); } chain = list.toArray(chain); list = null; // for(X509Certificate c: chain) { // System.out.println(c.gets); // } } catch (Exception e) { throw new RuntimeException(e); } return chain; } }







2.签名的例子
http://www.herongyang.com/JDK/jca_signature_2.html