android 服务器 加密,android和服务器端实现加密通信.doc

Android和服务器端实现加密通信

【摘要】

本文使用JAVA自带的RSA算法在Adroid和服务器端之间实现加密通信，同时描述了在该过程中可能会面临的三个常见问题以及解决方法。

一、问题的提出

移动开发如火如荼,很多APP都需要联网与服务器端进行数据交互，有些时候APP和服务器端之间交互的是一些私密数据，譬如用户的个人资料，此时需要进行加密交互以免数据泄露。

二、解决思路

1. 使用RSA算法进行加密和签名

RSA是目前最有影响力的公钥加密算法，它能够抵抗到目前为止已知的绝大多数密码攻击，已被ISO推荐为公钥数据加密。

RSA作为一种非对称加密机制，用于Android APP和服务器端之间的通信加密是比较合适的，APP端存在用户手机上可以使用公钥进行消息加密和认证，而私钥则存在服务器上，服务器端使用私钥进行解密和签名，即使有人在Android手机上反编译了APP端代码也只能获得公钥，既无法利用来窃取其他用户的信息也无法仿冒服务器端的重要消息。

JAVA的加密库已经实现了RSA算法，因此无论是在App端还是服务器端都只需要调用JAVA的库函数来生成一对密钥(公钥，私钥)， 并在服务器端用私钥解密，私钥签名，在App端用公钥加密，公钥认证。

2. 可能会出现的问题

采用以上方案可能会出现如下三个问题：

(1). Android系统上JAVA库的RSA实现方法和其他系统上JAVA库的RSA实现不完全一致，因此常常会出现Android系统之后信息，传到服务器端却解码失败的情况。这个问题不仅仅是RSA算法，Java加密库的其他算法(例如AES)也存在类似问题。

解决方法： 要解决这个问题，需要在服务器端引进一个与andoird实现方法一致的jar包(bcprov-jdk15on-148.jar)作为安全策略，然后在代码中添加这种安全策略，并且用这种安全策略来初始化加密库。代码如下：

private static Cipher cipher;

static{

try {

Security.addProvider(new vider.BouncyCastleProvider()); //添加安全策略

cipher = Cipher.getInstance("RSA","BC"); //用该安全策略初始化加密库

} catch (NoSuchAlgorithmException e) {

e.printStackTrace();

} catch (NoSuchPaddingException e) {

e.printStackTrace();

} catch (NoSuchProviderException e) {

// TODO Auto-generated catch block

e.printStackTrace();

}

(2)要加密的明文过长，导致加密失败。RSA算法要求加密明文的长度不能大于密钥长度，因此一旦加密明文过长会报加密失败。

解决方法：根据密钥长度对明文进行分组，然后每组分别加密，最后将加密结果拼接在一起，由于分组之后每组长度都小于密钥长度保证加密成功。对应的，在解密时，对密文也进行分组(根据RSA算法，每组密文的长度一定等于密钥的长度)，然后对每组密钥分别解密，最后将所有解密之后的明文拼接起来得到最终结果。

(3)JAVA加密库加密之后得到的密文是一串二进制码流，如果想在Http中正常传输最好要转化为ASCII字符，否则可能会发生乱码问题。

解决方法： 采用BASE64算法，RSA加密后再用BASE64算法进行编码，在RSA解密之前先用BASE64算法进行解码，由于BASE64编码后的字符都是ASCII字符，因此可以毫无问题的用Http传输。这里要注意的是android库自带了Base64编码的实现类，服务器端可能需要引进外部的实现包。

三、实践情况

采用以上方案，一步步规避三个常见问题，最终成功实现了Android和服务器端之间的加密通信，实现服务器端代码如下(Andoroid端只需要将私钥换成公钥，使用默认安全策略来初始化加密库即第二个参数为空，Base64使用android自带的Base64类即可)：

public class RSAImpl {

private static Cipher cipher;

static{

try {

Security.addProvider(new vider.Bo