Android TLS 握手

Question

我正在尝试了解 Android 与服务器的 TLS 连接。有人可以纠正我吗？

有两种启动 TLS 连接的方式。首先，只有服务器有证书，客户端决定是否信任它。其次，客户端和服务器都获得了证书。我说得对吗？

如何在 Android 设备上为 TLS 连接生成自定义唯一证书并将其用于连接到服务器？我只找到了第一种连接的实现。

谁能帮帮我？

Answer 1

要通过 TLS 实现双向身份验证，您需要在服务器端和客户端都有一个 keystore 。

我通常使用 Portecle 工具来创建 keystore ，这是一个非常易于使用的基于 Java 的图形用户界面工具。您可以在 portecle.sourceforge.net 上下载它

您将需要使用该工具为服务器端创建一个 JKS 格式的 keystore ，并为客户端创建另一个 BKS 格式的 keystore 。格式不同是因为 Android 本身不支持 JKS keystore 的使用，仅支持 BKS，反之亦然。

创建两个 keystore 后，您需要为每个 keystore 生成一个 key 对(公钥和私钥)。 Portecle 在工具栏上有一个名为“工具”子菜单的按钮来执行此操作。通用 key 算法和大小是 RSA 2048 位。之后，您需要为证书设置一些参数，如组织单位、名称、地点等。

现在您有两个 keystore 和两个 key 对。

要允许客户端解密服务器接收到的消息，需要向客户端 keystore 提供服务器 keystore 的公钥。为此，只需右键单击服务器 keystore 上的 key 对，然后单击“导出”选项。然后选择“证书链”并在您的文件系统上选择一个位置来存储证书。

现在您已准备好将公钥导入客户端 keystore 。为此，请单击“工具”工具栏并选择“导入可信证书”，然后查找在上一步中导出的证书文件。将出现一些警告消息，指示您无法建立信任路径，暂时不要担心。

所以，现在您有了带有 key 对的客户端 keystore 和服务器证书。这在客户端就足够了。

现在，需要将客户端 key 对导入服务器 keystore 。在客户端 keystore 上右键单击 key 对并选择“导出”。在打开的弹出窗口中选择“私钥和证书”，然后选择 PKCS #12 格式。

然后，打开服务器 keystore 并使用“工具”工具栏的“导入 key 对”子菜单，然后选择上一步导出的 key 对。

请记住，以 BKS 格式保存客户端 keystore ，以 JKS 格式保存服务器 keystore 非常重要。

好的，这就是 keystore 的全部内容，现在是时候编写代码了。

让我们从服务器代码开始。下一个 fragment 是从我正在运行的 java Spring 项目中提取的。它是一个嵌入式 tomcat，所以配置是纯 java，很容易找到如何在传统 tomcat 配置上配置 ssl 连接器，所以我只放嵌入式版本。

private Connector createSslConnector() {

//print the client keystore
printClientKeystore();

Connector connector = new Connector("org.apache.coyote.http11.Http11NioProtocol");
Http11NioProtocol protocol = (Http11NioProtocol) connector.getProtocolHandler();
try {

    //read the keystore from the jar
    //and write it to a tmp file
    Resource keystoreResource = context.getResource("classpath:config/server.keystore");
    byte[] keystoreData = readKeystore(keystoreResource.getInputStream());
    File tmpKeystoreFile = File.createTempFile("keystore", "");
    writeKeystore(tmpKeystoreFile, keystoreData);

    //keystore information
    final String keystoreFile = tmpKeystoreFile.getAbsolutePath();
    final String keystorePass = "yourKeystorePass";
    final String keystoreType = "pkcs12";
    final String keystoreProvider = "SunJSSE";
    final String keystoreAlias = "comics_tomcat";

    connector.setScheme("https");
    connector.setAttribute("clientAuth", "true");
    connector.setPort(HTTPS_PORT);
    connector.setSecure(true);
    protocol.setSSLEnabled(true);

    //keystore
    protocol.setKeystoreFile(keystoreFile);
    protocol.setKeystorePass(keystorePass);
    protocol.setKeystoreType(keystoreType);
    protocol.setProperty("keystoreProvider", keystoreProvider);
    protocol.setKeyAlias(keystoreAlias);

    //truststore
    protocol.setTruststoreFile(keystoreFile);
    protocol.setTruststorePass(keystorePass);

    protocol.setPort(HTTPS_PORT);

    return connector;
}
catch (IOException e) {
    LOGGER.error(e.getMessage(), e);
    throw new IllegalStateException("cant access keystore: [" + "keystore"
            + "] or truststore: [" + "keystore" + "]", e);
}
}

这就是服务器端的全部内容，通过使用“setSecure(true)”方法，您有一个安全标志为 true 的 ssl 连接器。这允许您要求使用私钥/公钥 auth 进行用户身份验证。

以下代码用于客户端，它加载 keystore 、信任库(通过使用相同的 keystore )，配置主机名验证器以允许连接到特定域，然后打开连接。

            KeyStore keyStore = KeyStore.getInstance(KeyStore.getDefaultType());
            KeyStore trustStore = KeyStore.getInstance(KeyStore.getDefaultType());

            //load keystore stream
            byte[] keystoreData = readInputStream(getAssets().open("client.keystore"));

            //load keystore
            ByteArrayInputStream bais = new ByteArrayInputStream(keystoreData);
            keyStore.load(bais, KEYSTORE_PASSWORD.toCharArray());
            //load truststore
            bais = new ByteArrayInputStream(keystoreData);
            trustStore.load(bais, KEYSTORE_PASSWORD.toCharArray());
            //load trustmanager
            TrustManagerFactory tmf = TrustManagerFactory.getInstance(TrustManagerFactory.getDefaultAlgorithm());
            tmf.init(trustStore);
            //init keymanager
            KeyManagerFactory kmf = KeyManagerFactory.getInstance(KeyManagerFactory.getDefaultAlgorithm());
            kmf.init(keyStore, KEYSTORE_PASSWORD.toCharArray());
            //create ssl context
            sslContext = SSLContext.getInstance("TLS");
            sslContext.init(kmf.getKeyManagers(), tmf.getTrustManagers(), null);


HostnameVerifier HOSTNAME_VERIFIER = new HostnameVerifier() {
        @Override
        public boolean verify(String hostname, SSLSession session) {
            List<String> allowedHostnames = new ArrayList<String>();
            allowedHostnames.add("pinterest.com");
            allowedHostnames.add("192.168.1.43");
            allowedHostnames.add("10.0.2.2");
            return allowedHostnames.indexOf(hostname) != -1;
        }
    };

                    //open https connection
                    URL url = new URL("https://" + SERVER_URL + ":" + SERVER_PORT + "/api/v1/publication/getDescriptor/" + publicationId);
                    HttpsURLConnection urlConnection = (HttpsURLConnection) url.openConnection();
                    urlConnection.setSSLSocketFactory(sslContext.getSocketFactory());
                    urlConnection.setHostnameVerifier(HOSTNAME_VERIFIER);

                    //read server response
                    byte[] serverResult = readInputStream(urlConnection.getInputStream());

如果您有任何问题，请告诉我!