java - 防止 Java 中的 SSL 证书验证

Question

我一直在开发客户端-服务器应用程序，目前它只使用标准套接字/服务器套接字。但是，我需要通过安全连接发送数据。我不认为 SSL 是一个选项，因为我将在网上公开分发客户端/服务器应用程序，所以任何想要托管服务器的人都可以，他们使 SSL 的证书验证不相关，因为我必须捆绑证书在分布式服务器中。

所以我的问题是:处理这样的事情的正确方法是什么？我听说他们是禁用 SSL 验证的方法，但据我所知，这些方法在某种程度上被认为是 hacky/已弃用(如果我错了请纠正我)。

另一种想法是在两端手动实现加密/解密(类似于 SSL 的工作方式，只是没有证书验证)。

或者，他们是否为此(或类似的东西)设计了另一种方式/协议(protocol)？

Answer 1

您要求使用 SSL 的替代方法，但在安全/加密方面，通常最好坚持使用标准方法 - 自制解决方案太容易了，但结果证明存在重大缺陷。

话虽如此，您可以非常轻松地将 SSL 配置为不对证书进行验证(主要是通过信任所有证书)。这通常是个坏主意。

SSL 通信做两件事；

1. 加密通信，因此第三方无法看到正在发送的内容。
2. 确定服务器所有者的身份。

不验证证书意味着您不知道谁在运行您刚刚连接的服务器。一般来说，如果你关心加密与服务器的通信，你必须关心套接字的另一端是谁。如果您不确定服务器是由您希望与其进行敏感通信的人运行的，则不应发送敏感数据，因为无论您试图躲避谁，都可能正在从套接字的另一端读取数据。

如果您确实想要加密通信，那么您应该使用带有自签名证书的 SSL。为了让客户端满意，调整客户端中的 SSLContext 以信任此类证书。

如果你走这条路，客户端应用程序将无法判断它正在与之通信的服务器是真实的还是由坏人设置的冒名顶替者。

如果你想要 SSL 的全面保护，你应该让每台服务器的运营商提供他们自己的证书来识别他们自己，你的客户端应该设置为只与受信任的服务器对话。如果这是由公认的证书颁发机构 (CA) 颁发的证书，则最容易配置。但是，您可以使用自签名证书，但每个客户端都需要在 cacerts 文件中包含证书(或证书链的根)(或者您可以调整 SSLContext 以信任特定的自签名证书并使这部分客户端配置)。