| 网站首页 | 业界新闻 | 小组 | 威客 | 人才 | 下载频道 | 博客 | 代码贴 | 在线编程 | 编程论坛
欢迎加入我们,一同切磋技术
用户名:   
 
密 码:  
共有 2951 人关注过本帖, 1 人收藏
标题:(原创)java 安全套接字扩展从概述到实现
只看楼主 加入收藏
lhn_lhn
Rank: 1
等 级:新手上路
帖 子:18
专家分:0
注 册:2004-5-25
收藏(1)
 问题点数:0 回复次数:1 
(原创)java 安全套接字扩展从概述到实现

JSSE知识概览

1. 什么是JSSE

JSSEJava Security Socket ExtensionJava安全套接字扩展)是Sun为了解决在Internet上的安全通讯而推出的解决方案。它实现了SSLTSL(传输层安全)协议。在JSSE中包含了数据加密,服务器验证,消息完整性和客户端验证等技术。通过使用JSSE,开发人员可以在客户机和服务器之间通过TCP/IP协议安全地传输数据。

2.SSL和TLS

安全套接层协议(SSL,Security Socket Layer)是网景(Netscape)公司提出的基于WEB应用的安全协议,它包括:服务器认证、客户认证(可选)、SSL链路上的数据完整性和SSL链路上的数据保密性。SSL (Secure socket Layer)安全套接层协议主要是使用公开密钥体制和X.509数字证书技术保护信息传输的机密性和完整性,它不能保证信息的不可抵赖性,主要适用于点对点之间的信息传输,常用Web Server方式。

服务器认证为客户端需要验证服务器端的身份。客户端请求服务器的连接,这个请求里包含了自己可以实现的算法列表和其它一些需要的消息,然后服务器回应这个请求,确定了这次通信所需的算法,然后发给客户端自己的证书(包含自己的身份信息和公钥)。客户端会确认服务器端发送过来的证书是不是自己所信任的证书,然后再进行通信。

客户认证为服务器端需要确认用户的身份。服务器端接受客户端发送过来的证书,然后看客户端的证书是不是可信的(要可信任的证书库中查找客户是不是由可信任的机构签发的),再决定是否响应客户端的正常连接请求。

SSL链路上的数据完整性和SSL链路上的数据保密性为发送方对传输在SSL层上的数据进行加密,然后接收方利用发送方的公钥对加密了的数据进行解密。这样确保了传输的数据的保密而不能被第三方轻易的猜解出内容。

IETF(www.ietf.org)将SSL作了标准化,即RFC2246,并将其称为TLS(Transport Layer Security),从技术上讲,TLS1.0与SSL3.0的差别非常微小。

3、 证书和证书库

证书是数字证书或电子证书的简称,它符合X.509标准,是网上实体身份的证明。证书是由具备权威性、可信任性和公正性的第三方机构(CA)签发的,因此,它是权威性的电子文档。

证书库是CA颁发证书和撤消证书的集中存放地,它像网上的“白页”一样,是网上的公共信息库,可供公众进行开放式查询。一般来说,查询的目的有两个:其一是想得到与之通信实体的公钥;其二是要验证通信对方的证书是否已进入 “黑名单”。

JDK中使用的 SSL/TLS 证书是 X.509 证书

X.509的最初版本公布于1988年。X.509证书由用户公共密钥和用户标识符组成。此外还包括版本号、证书序列号、CA标识符、签名算法标识、签发者名称、证书有效期等信息。这一标准的最新版本是X.509 v3,它定义了包含扩展信息的数字证书。该版数字证书提供了一个扩展信息字段,用来提供更多的灵活性及特殊应用环境下所需的信息传送。

4常用公钥算法

下面是三种最常用的公钥算法:

RSA-适用于数字签名和密钥交换。Rivest-Shamir-Adleman (RSA) 加密算法是目前应用最广泛的公钥加密算法,特别适用于通过 Internet 传送的数据。这种算法以它的三位发明者的名字命名:Ron RivestAdi Shamir Leonard AdlemanRSA 算法的安全性基于分解大数字时的困难(就计算机处理能力和处理时间而言)。在常用的公钥算法中,RSA 与众不同,它能够进行数字签名和密钥交换运算。

DSA-仅适用于数字签名。数字签名算法 (Digital Signature Algorithm, DSA) 由美国国家安全署 (United States National Security Agency, NSA) 发明,已经由美国国家标准与技术协会 (National Institute of Standards and Technology, NIST) 收录到联邦信息处理标准 (Federal Information Processing Standard, FIPS) 之中,作为数字签名的标准。DSA 算法的安全性源自计算离散算法的困难。这种算法仅用于数字签名运算(不适用于数据加密)。

Diffie-Hellman-仅适用于密钥交换。 Diffie-Hellman 是发明的第一个公钥算法,以其发明者 Whitfield Diffie Martin Hellman 的名字命名。Diffie-Hellman 算法的安全性源自在一个有限字段中计算离散算法的困难。Diffie-Hellman 算法仅用于密钥交换。

5. 授权认证的前期准备步骤

在一个客户访问一个需要客户认证的服务器时,需要把此用户的证书导入到服务器受信任的证书文件库中。下面介绍进行客户认证需要做的前期准备工作。首先,该客户必需有一张证书,证书一般是由权威机构颁发,即(CA 系统),这里自己为自己颁发一张证书。我们先要为自己生成生成一个密钥,并保存在密钥库中,然后从密钥库中导出证书。在服务器端,也必须有一个密钥库,在进行通信行,服务器端用自己的私钥来对发送的消息进行加密。

例:

1.生成客户密钥到密钥库。如生成一个密钥到密钥库clientKeys,该密钥库中包含了用户Alice的密钥,完成了对Alice的授权。命令如下:

keytool -genkey -alias alice -keystore clientKeys

在完成后可以键入下面的命令来检测是否已经正确完成了授权:

keytool -list -v -keystore clientKeys

2.生成服务器端的密钥到密钥库,这里密钥库取名为serverKeys,该密钥库包含服务器Server的密钥

keytool -genkey -alias server -keystore serverKeys

3.生成证书文件:如从密钥库clientKeys生成Alice的证书文件alice.cer

keytool -export -alias alice -keystore clientKeys -file alice.cer

用户有了自己的证书文件后,服务器要取得对该用户的信任,必须把该用户的证书文件(或是为该用户颁发证书文件的上一级机构)导入到服务器的受信任的证书库中:

4.将证书文件导入到服务器端受信任的证书库中。将alice.cer导入到服务器信任的证书库serverTruest文件中,serverTruest文件即为信任的证书列表文件(受信任的证书库)。

命令为:keytool -import -alias alice -keystore serverTrust -file alice.cer

同理,客户端要进行服务器验证时。需要把服务器的证文件导入到客户端受信任的证书文件库中(用户用IE访问时,需把用户的证书导入IE)。

6.编程实现对客户端的认证和安全通信

我认为实现对客户端的认证,然后与客户端进行安全加密的通信,可以参考如下8个步骤。以下结合一个完整的例子对各步骤进行说明(附HttpServer.java),程序中采用上面产生的证书和信任的证书库。

1.初始化密钥库,指明用来加密的密钥库存放位置并得到访问密钥库的权限。

KeyManagerFactory kmf = KeyManagerFactory.getInstance("SunX509");

KeyStore ks=KeyStore.getInstance("jks");

ks.load(new FileInputStream(keyStore), keyStorePassword.toCharArray());

// 使用获得的KeyStore初始化KeyManagerFactory对象

kmf.init(ks, keyPassWord.toCharArray());

2.初始化可信任的证书库。指明可信任的证书库存放位置并得到访问证书库的权限

TrustManagerFactory tmFact=TrustManagerFactory.getInstance("SunX509");

KeyStore ks=KeyStore.getInstance("jks");

ks.load(new FileInputStream(trustStore), trustStorePassword.toCharArray());

// 使用获得的KeyStore初始化TrustManagerFactory对象

tmFact.init(ks);

3.创建SSLContext的对象

SSLContext sslcontext = SSLContext.getInstance("SSLv3");

4.用指定的密钥库和可信任证书库初始化SSLContext

sslcontext.init(getKeyManagers(), getTrustManagers(), null);

5.创建SSLServerSocketFactory类型的对象

ServerSocketFactory ssf = sslcontext.getServerSocketFactory();

6.由SSLServerSocketFactory创建ServerSocket对象

SSLServerSocket serversocket = (SSLServerSocket)ssf.createServerSocket(HTTPS_PORT);

7.等待客户连接

Socket client = listen.accept();

listen为ServerSocket的对象

8.连接后,建立输入和输出流,这样就建立了通信通道

同理,客户端要实现对服务器的验证,大致也需要同样的步骤,这里就不再专门说明。

总结:安全套接字和一般套接字实现的差异

SSL编程和基于Socket的编程类似,首先创建ServerSocket对象,传入端口号,然后执行ServerSocket 对象的accept()方法获取Socket类型的对象,并侦听端口以等待客户程序的服务器连接。最后通过Socket类型的对象获得获得输入和输出流,通过输入和输出流与客户程序进行通信。SSL编程和基于Socket的编程不同的地方在于其ServerSocket对象是通过一个特殊的对象——SSLServerSocketFactory类型的对象创建的,这样以后的输入和输出流将自动按照SSL协议指定的方法交换密钥并对数据进行加密。此外,需要指定包含证书的密钥库,以便客户程序确定SSL服务器是否可靠。

参考文献:

[1]徐迎哓 java安全性编程实例 清华大学出版社 2004年4月 238-283

[2]冯睿 用JSSE定制SSL连接 www.ccidnet.com 2002.10.24

[3]李文军 Java keytool工具的作用及使用方法 计算机世界 2002-7-8

[4] 中国金融认证中心 PKI和SSL协议介绍 www.cfca.com.cn

[5]谷和启 公钥基础设施PKI技术与应用发展 赛迪网 2003.11.10

[6] Overlord_Kahn liwrml翻译 加密概念和PKI基础知识简述 赛迪网 2003年10月16日

[7] Qusay H. Mahmoud 著 边城狂人 译 用J2SE 1.4进行Internet安全编程 计算机世界网球2002-12-2

[8]中国IT认证实验室 SSL/TLS/WTLS原理 2003-1-14

搜索更多相关主题的帖子: 套接字 java 概述 
2004-05-28 09:18
javaXP
Rank: 1
等 级:新手上路
帖 子:1
专家分:0
注 册:2004-5-25
收藏
得分:0 
谢谢,又学了点!呵呵!让我们一起进步!

2004-05-28 09:54
快速回复:(原创)java 安全套接字扩展从概述到实现
数据加载中...
 
   



关于我们 | 广告合作 | 编程中国 | 清除Cookies | TOP | 手机版

编程中国 版权所有,并保留所有权利。
Powered by Discuz, Processed in 0.032871 second(s), 7 queries.
Copyright©2004-2024, BCCN.NET, All Rights Reserved