Android和服务器端实现加密通信
【摘要】
本文使用JAVA自带的RSA算法在Adroid和服务器端之间实现加密通信,同时描述了在该过程中可能会面临的三个常见问题以及解决方法。
一、问题的提出
移动开发如火如荼,很多APP都需要联网与服务器端进行数据交互,有些时候APP和服务器端之间交互的是一些私密数据,譬如用户的个人资料,此时需要进行加密交互以免数据泄露。
二、解决思路
1. 使用RSA算法进行加密和签名
RSA是目前最有影响力的公钥加密算法,它能够抵抗到目前为止已知的绝大多数密码攻击,已被ISO推荐为公钥数据加密。
RSA作为一种非对称加密机制,用于Android APP和服务器端之间的通信加密是比较合适的,APP端存在用户手机上可以使用公钥进行消息加密和认证,而私钥则存在服务器上,服务器端使用私钥进行解密和签名,即使有人在Android手机上反编译了APP端代码也只能获得公钥,既无法利用来窃取其他用户的信息也无法仿冒服务器端的重要消息。
JAVA的加密库已经实现了RSA算法,因此无论是在App端还是服务器端都只需要调用JAVA的库函数来生成一对密钥(公钥,私钥), 并在服务器端用私钥解密,私钥签名,在App端用公钥加密,公钥认证。
2. 可能会出现的问题
采用以上方案可能会出现如下三个问题:
(1). Android系统上JAVA库的RSA实现方法和其他系统上JAVA库的RSA实现不完全一致,因此常常会出现Android系统之后信息,传到服务器端却解码失败的情况。这个问题不仅仅是RSA算法,Java加密库的其他算法(例如AES)也存在类似问题。
解决方法: 要解决这个问题,需要在服务器端引进一个与andoird实现方法一致的jar包(bcprov-jdk15on-148.jar)作为安全策略,然后在代码中添加这种安全策略,并且用这种安全策略来初始化加密库。代码如下:
private static Cipher cipher;
static{
try {
Security.addProvider(new vider.BouncyCastleProvider()); //添加安全策略
cipher = Cipher.getInstance("RSA","BC"); //用该安全策略初始化加密库
} catch (NoSuchAlgorithmException e) {
e.printStackTrace();
} catch (NoSuchPaddingException e) {
e.printStackTrace();
} catch (NoSuchProviderException e) {
// TODO Auto-generated catch block
e.printStackTrace();
}
(2)要加密的明文过长,导致加密失败。RSA算法要求加密明文的长度不能大于密钥长度,因此一旦加密明文过长会报加密失败。
解决方法:根据密钥长度对明文进行分组,然后每组分别加密,最后将加密结果拼接在一起,由于分组之后每组长度都小于密钥长度保证加密成功。对应的,在解密时,对密文也进行分组(根据RSA算法,每组密文的长度一定等于密钥的长度),然后对每组密钥分别解密,最后将所有解密之后的明文拼接起来得到最终结果。
(3)JAVA加密库加密之后得到的密文是一串二进制码流,如果想在Http中正常传输最好要转化为ASCII字符,否则可能会发生乱码问题。
解决方法: 采用BASE64算法,RSA加密后再用BASE64算法进行编码,在RSA解密之前先用BASE64算法进行解码,由于BASE64编码后的字符都是ASCII字符,因此可以毫无问题的用Http传输。这里要注意的是android库自带了Base64编码的实现类,服务器端可能需要引进外部的实现包。
三、实践情况
采用以上方案,一步步规避三个常见问题,最终成功实现了Android和服务器端之间的加密通信,实现服务器端代码如下(Andoroid端只需要将私钥换成公钥,使用默认安全策略来初始化加密库即第二个参数为空,Base64使用android自带的Base64类即可):
public class RSAImpl {
private static Cipher cipher;
static{
try {
Security.addProvider(new vider.Bo