netty中实现双向认证的SSL连接

最新推荐文章于 2024-07-30 17:44:59 发布

virgilli

最新推荐文章于 2024-07-30 17:44:59 发布

阅读量3w

点赞数 1

文章标签： netty SSL 双向认证

本文链接：https://blog.csdn.net/virgilli/article/details/42836063

版权

1. 前期准备工作

双向证书认证的双方称为client和server，首先为client和server生成证书。由于仅仅是自己学习使用，因此可以在本地自建一个CA，然后用CA的证书分别签发client和server的证书。CA的创建和签发使用OpenSSL。
在windows环境上安装OpenSSL，然后依据OpenSSL目录下的openssl.cnf中[ CA_default ]的配置创建相应的文件夹和文件

demoCA/ —- CA的根目录 
|– newcerts/—- CA签发出去的证书 
|– private/ —- CA自己的私钥，默认名称是cakey.pem 
|– serial —- 存放证书序列号的文件 
|– index.txt —- 签发过的证书的记录，文本文件

serial这个文件中可以初始写入一行记录，包含两个字符01，表示下一个签发的证书采用的序列号是01
接下来生成CA自己的公私钥（public/private key），生成证书签名请求（CSR, Certificate Signing Request）文件并对该请求进行自签名
在openssl的根目录下运行

openssl genrsa -out ./demoCA/private/cakey.pem 2048

genrsa —- 同时生成public key和private key
很多人将genrsa解释为只生成private key，这是不对的。可以用下面的命令从文件中解出公钥

openssl rsa -in cakey.pem -pubout > capublickey.pub

注意最后的数字2048表示生成的RSA公私钥的长度

JDK7中对证书检查要求公钥的长度最少为1024位，否则会抛出异常

java.security.cert.CertPathValidatorException: Algorithm constraints check failed
该长度限制是可以配置的，配置文件路径是JAVA_HOME/jre/lib/security/java.security
jdk.certpath.disabledAlgorithms=MD2, RSA keySize < 1024

然后用上面生成的公私钥文件创建一个证书签名请求文件

openssl req -new -key ./demoCA/private/cakey.pem -out careq.pem

req —- 创建CSR或者证书
-key —- openssl从这个文件中读取private key
careq