不知不觉 Https
相关的文章已经写了6篇了,本文将是这个专题的最后一篇,起码近期是最后一篇。前面6篇讲的全都是单向的 Https
验证,本文将重点介绍一下双向验证。有兴趣的同学可以了解一下之前的文章:
(0) Https专题
(1) Springboot整合https原来这么简单
(2) HTTPS之密钥知识与密钥工具Keytool和Keystore-Explorer
(3) Springboot以Tomcat为容器实现http重定向到https的两种方式
(4) Springboot以Jetty为容器实现http重定向到https
(5) nginx开启ssl并把http重定向到https的两种方式
(6) Springboot-WebFlux实现http重定向到https
双向验证是比较难的,能掌握双向验证,单向验证就没什么问题了。
所谓 单向验证 ( One Way SSL ),就是只有一方验证另一方是否合法,通常是客户端验证服务端。比如我们打开 www.pkslow.com 这个网站,服务端不会验证客户端,只要你来我就欢迎。但客户端不一样,浏览器会验证这个网站是不是安全的,一般是通过 CA 颁发的 SSL证书 来验证。
而 双向验证 ( Two Way SSL )则不同。不仅客户端需要验证服务端,服务端同样戒备心很重,也需要验证客户端是否是合法。
大家是否会有疑问,这么麻烦的 双向验证 有什么用?我们平常用 单向验证 不就已经足够了吗? 单向验证 虽然安全,但不够安全,使用 双向验证 可以只让特定的客户端访问,安全性会高一点。
另一方面,如果服务端没有做账户权限控制,但又想只限制特定的客户端访问, 双向验证 就非常有用,我只验证我相信的客户端,其它一概拒绝!这样即使我的服务暴露在网上,也不怕别人访问。既保证了安全,又省去了做权限控制的麻烦。
验证合法性通常是通过 Trust Store 。要求要把对方的 cert 装在自己的 Trust Store 里。
这就衍生出了一个之前没有讲过的概念: Trust Store 。密钥文件可以存放私钥和公钥,具体一点来说是可以存放自己的私钥、自己的公钥和别人的公钥(也可以存放别人的私钥,但这不合理,私钥必须私有)。一般地我们把自己的(私钥和公钥)存放在 Key Store 里,而把别人的公钥存放在 Trust Store 里。
以 Java 程序为例,我们建立 SSLContext 时,需要生成 KeyManager 和 TrustManager ,对应的参数为 javax.net.ssl.keyStore 和 javax.net.ssl.trustStore 。而它们的作用正好体现了不同 Store 的作用:
如果我们不指定 TrustStore ,默认是 $JAVA_HOME/jre/lib/security/cacerts
文件。我们可以通过命令查看这个文件都有什么 certs :
keytool -list -keystore cacerts
单向验证的流程如下图所示:
建立连接的过程:
(1)证书是否过期
(2)颁发服务器证书的CA是否可靠
(3)返回的公钥是否能正确解开返回证书中的数字签名
(4)服务器证书上的域名是否和服务器的实际域名相匹配
验证通过后,将继续进行通信,否则,终止通信;
双向验证的流程如下图所示:
建立连接的过程:
(1)证书是否过期
(2)颁发服务器证书的CA是否可靠
(3)返回的公钥是否能正确解开返回证书中的数字签名
(4)服务器证书上的域名是否和服务器的实际域名相匹配
验证通过后,将继续进行通信,否则,终止通信;
理论知识讲完了,就来实战一下, Springboot
是怎么整合 双向验证 的。
既然是双向验证,就需要双方的密钥,我们服务端称为 localhost ,而客户端称为 client 。需要生成双方的密钥文件,并把对方的 cert 导入自己的密钥文件里。整个过程如下:
注意:密码统一为 changeit
。
# 生成服务端密钥文件localhost.jks keytool -genkey -alias localhost -keyalg RSA -keysize 2048 -sigalg SHA256withRSA -keystore localhost.jks -dname CN=localhost,OU=Test,O=pkslow,L=Guangzhou,C=CN -validity 731 -storepass changeit -keypass changeit # 导出服务端的cert文件 keytool -export -alias localhost -file localhost.cer -keystore localhost.jks # 生成客户端的密钥文件client.jks keytool -genkey -alias client -keyalg RSA -keysize 2048 -sigalg SHA256withRSA -keystore client.jks -dname CN=client,OU=Test,O=pkslow,L=Guangzhou,C=CN -validity 731 -storepass changeit -keypass changeit # 导出客户端的cert文件 keytool -export -alias client -file client.cer -keystore client.jks # 把客户端的cert导入到服务端 keytool -import -alias client -file client.cer -keystore localhost.jks # 把服务端的cert导入到客户端 keytool -import -alias localhost -file localhost.cer -keystore client.jks # 检验服务端是否具有自己的private key和客户端的cert keytool -list -keystore localhost.jks
成功执行完上述步骤后,会生成4个文件:
实际上 cert
文件可以不要了,因为已经导入对方的 Trust Store 里面去了。也就是在文件 localhost.jks
里,包含了服务端的私钥、公钥还有客户端的公钥。 client.jks
同理。
Springboot
的配置文件如下:
server.port=443 server.ssl.enabled=true server.ssl.key-store-type=JKS server.ssl.key-store=classpath:localhost.jks server.ssl.key-store-password=changeit server.ssl.key-alias=localhost server.ssl.trust-store=classpath:localhost.jks server.ssl.trust-store-password=changeit server.ssl.trust-store-provider=SUN server.ssl.trust-store-type=JKS server.ssl.client-auth=need
需要分别配置 Key Store
和 Trust Store
的文件、密码等信息,即使是同一个文件。
需要注意的是, server.ssl.client-auth
有三个可配置的值: none
、 want
和 need
。双向验证应该配置为 need
; none
表示不验证客户端; want
表示会验证,但不强制验证,即验证失败也可以成功建立连接。
完成密钥文件准备和配置后,启动 Springboot
便可以了。这里用 Postman
访问如下:
无法建立 https
连接,无法访问。原因就是 Postman
作为客户端并没有合法的cert。
为了建立连接,应该要把客户端的密钥文件给 Postman
使用。因为 JKS
是Java的密钥文件格式,我们转换成通用的 PKCS12
格式如下:
# 转换JKS格式为P12 keytool -importkeystore -srckeystore client.jks -destkeystore client.p12 -srcstoretype JKS -deststoretype PKCS12 -srcstorepass changeit -deststorepass changeit -srckeypass changeit -destkeypass changeit -srcalias client -destalias client -noprompt
把客户端密钥文件配置到 Postman
如下图所示:
再重新访问,成功了!
或者我们可以把密钥文件拆成 private key
和 cert
,命令如下:
# 导出客户端的cert文件 openssl pkcs12 -nokeys -in client.p12 -out client.pem # 导出客户端的key文件 openssl pkcs12 -nocerts -nodes -in client.p12 -out client.key
把客户端的密钥文件配置到 Postman
上,如图所示:
结果一样是可以成功访问:
没有安装 Postman
怎么办呢?还好,用强大的 curl
命令也是可以测试的。命令如下:
curl -k --cert client.pem --key client.key https://localhost/hello # 下面命令可以查看建立SSL连接详情 curl -v -k --cert client.pem --key client.key https://localhost/hello
如果觉得指定两个文件太麻烦,可以只生成一个文件,命令如下:
openssl pkcs12 -nodes -in client.p12 -out client_all.pem
则连接命令变成了:
# 需要指定密码 curl -k --cert client_all.pem:changeit https://localhost/hello
这篇文章讲解了单向验证和双向验证的区别及流程,并用实例展示如何实现双向验证,相信跟着做一遍,基本都能理解了。
参考资料:
Trust Store vs Key Store - creating with keytool
Keystore vs. Truststore
An Overview of One-Way SSL and Two-Way SSL
验证流程部分来自: Https单向认证和双向认证
欢迎访问 南瓜慢说 www.pkslow.com 获取更多精彩文章!
欢迎关注微信公众号< 南瓜慢说 >,将持续为你更新...