Android开发TCP加密,Android开发之基于Netty的TCP连接中使用SSL加密

1 Introduction

数据安全在网络通信中是非常重要的一个方面。为了支持 SSL/TLS，Java 提供了 javax.net.ssl包下的类SslContext 和 SslEngine 。在Netty框架下，I/O数据在ChannelPipeline中被管道中的ChannelHandler处理并转发给下一个ChannelHandler。自然而然地，Netty也提供了ChannelHandler的实现SslHandler来支持SSL, 有一个内部 SslEngine 做实际的工作。

2 Steps

首先看看SslHandler的构造函数：

public SslHandler(SSLEngine engine) {

this(engine, false);

}

public SslHandler(SSLEngine engine, boolean startTls) {

this(engine, startTls, ImmediateExecutor.INSTANCE);

}

不难发现，我们需要一个SSLEngine对象来构建SslHandler。根据资料可以知道，需要根据已初始化的 SSLContext 来调用 SSLContext.createSSLEngine() 即可创建 SSLEngine。

所以基于Netty框架的在TCP连接中使用SSL/TLS加密的流程如下：

在代码中导入证书，并使用该证书构造SSLContext

调用SSLContext对象的createSSLEngine()创建 SSLEngine

用SSLEngine对象去初始化Netty的SslHandler

在Netty的ChannelInitializer.initChannel()中，往管道(pipeline)中安装SslHandler。

3 Usage

3.1 导入证书

public SSLContext getClientSSLContext(){

KeyStore trustKeyStore= KeyStore.getInstance("JKS");// 访问Java密钥库，JKS是keytool创建的Java密钥库

InputStream keyStream = MyApplication.getAppContext().getAssets().open("key.jks");//打开证书文件(.jks格式)

char keyStorePass[]="12345678".toCharArray(); //证书密码

keyStore .load(trustKeyStore,keyStorePass);

TrustManagerFactory trustManagerFactory = TrustManagerFactory.getInstance(TrustManagerFactory.getDefaultAlgorithm());

trustManagerFactory.init(keyStore );//保存服务端的授权证书

SSLContext clientContext = SSLContext.getInstance( "TLS");

clientContext.init(null, trustManagerFactory.getTrustManagers(), null);

return clientContext;

}

在上述代码，只是实现了client采用trustKeyStore中的key.jks证书(包含了server的公钥)对数据解密，如果解密成功，证明消息来自server，进行逻辑处理。

仅仅是server->client单向的SSL认证。

如果要实现server和client之间双向的身份认证，需要模仿trustManagerFactory的初始化来构建一个KeyManagerFactory来其中保存客户端的私钥，并传入

clientContext.init(kmf.getKeyManagers(), trustManagerFactory.getTrustManagers(), null);

3.2 添加 SslHandler

ChannelHandler在应该初始化(ChannelInitializer.initChannel()被调用时)阶段被安装在ChannelPipeline中。

bootstrap.handler(new ChannelInitializer() {

@Override

protected void initChannel(SocketChannel ch) throws Exception {

ChannelPipeline pipeline = ch.pipeline();

SSLEngine engine = getClientSSLContext().createSSLEngine();

engine.setUseClientMode(true);

pipeline.addFirst("ssl", new SslHandler(engine));

//....再添加其他的ChannelHandler

pipeline.addLast(nettyChannelHandler);

}

});

在大多数情况下,SslHandler 将成为 ChannelPipeline 中的第一个 ChannelHandler，所以调用了pipeline.addFirst() 。这将确保所有其他 ChannelHandler 应用他们的逻辑到数据后加密后才发生,从而确保他们的变化是安全的。

Relative