基于java的(de)https雙向認證,android上(shàng)亦可(kě)用(yòng)∑↕φ★發布日(rì)期：2014-11-09　>∑★　　來(lái)源：網絡
　　

概述:
客戶端,浏覽器(qì)或者使用(yòng)http協議(yì)和(hé)服務器(qì)通(tōng£π)信的(de)程序。
如(rú):
客戶端通(tōng)過浏覽器(qì)訪問(wèn)某一(yī)網站(zhàn)時(shí)，≈↕π®如(rú)果該網站(zhàn)為(wèi)HTTPS網站(zhàn)，浏覽器(q✔↕☆ì)會(huì)自(zì)動檢測系統中是(shì)否存在該網站(zhàn≈✘)的(de)信任證書(shū)，
如(rú)果沒有(yǒu)信任證書(sh★λū)，浏覽器(qì)一(yī)般會(huì)拒絕訪問(wèn)，IE會(huì¶βα)有(yǒu)一(yī)個(gè)繼續訪問(wèn)的(de)鏈接，但(dà'₹÷'n)地(dì)址欄是(shì)紅(hóng)色，給予用(yòn÷ >÷g)戶警示作(zuò)用(yòng)，
即客戶端驗證服務端并不(bù)是(shì)強制(zhì)性的(de)，可(kě)以沒§≤§有(yǒu)服務端的(de)信任證書(shū)，當然是(shì)否繼續訪問(wèn)完全取決<↕于用(yòng)戶自(zì)己。
如(rú)果要(yào)去(qù)除地(dì)址欄¶'★的(de)紅(hóng)色警告,需要(yào πε♥)導入服務端提供的(de)證書(shū)到(dào→&₽)浏覽器(qì)中。

服務器(qì)端,使用(yòng)http協議(yì)提供服務的(deγ‌Ω)程序。
服務端需要(yào)獲取到(dào)客戶端通(tōng)過浏覽器(qì)發送過來(l$↑™ái)的(de)認證證書(shū)，
如(rú):
該證書(shū)在服務端的(de)證書(shū)庫中已存在，僅僅是(shì♠≈✘φ)個(gè)匹配過程，匹配成功即通(tōng)過認證，可(≠φ←♠kě)繼續訪問(wèn)網站(zhàn)資源，反之則無‌∑ ≤法顯示網頁。

基本邏輯:
1、生(shēng)成服務端密鑰庫并導出證書(shū)₽♠☆.
2、生(shēng)成客戶端密鑰庫并導出證書(shū).
3、根據服務端密鑰庫生(shēng)成客戶端信任的(de)證書(∏÷δshū).
4、将客戶端證書(shū)導入服務端密鑰庫.
5、将服務端證書(shū)導入浏覽器(qì).

源碼下(xià)載地(dì)址：http://pan.baidu.com/s/1eQ5γ•®→r9OA


生(shēng)成密鑰庫和(hé)證書(shū):
因使用(yòng)java環境,下(xià)面使→‍×用(yòng)jdk下(xià)面的(de)keytool工(gōng)具來(lái)生(shē®→ng)成相(xiàng)應的(de)密鑰庫和(hé)證書(shū)
下(xià)面的(de)命令是(shì)在‍♦∏∑windows 7 下(xià)面測試通(tōng)過的×✘£φ(de),可(kě)以直接複制(zhì)使用(yò≤♦$‌ng)
1、創建目錄,如(rú)d:/sslDemo

2、使用(yòng)資源管理(lǐ)進入d:/sslDemo,按住shift∞↑π+右鍵,彈出菜單，選擇"在此處打開(kāi)命令行(xíng)&‌♥∏÷quot;.

3、服務器(qì)端相(xiàng)關操作(z÷•<​uò)
3.1、生(shēng)成服務器(qì)證書(sh ¶§₽ū)庫
keytool -validity 36500 ε×↑φ-genkey -v -alias server -key¶₩alg RSA -keystore server.keystore &Ω -dname "CN=www.itjoyee.com,OU=itjoyee.com,OΩ±<β=itjoyee.com,L=Wuhan,ST=Hu€♥Bei,c=cn" -store→₽₩≠pass 123456 -keypass 123456
注: 服務器(qì)證書(shū)庫參數(shù)“₽φ≥CN”必須與服務端的(de)IP地(dì)址相(xiàng)同，否則會↑<φσ(huì)報(bào)錯(cuò)，客戶端的₹"$€(de)任意。

3.2、從(cóng)服務器(qì)證書(shū)庫中導出β₹服務器(qì)證書(shū)
keytool -export -v -alias server -keystore serv±÷∑er.keystore -storepass 123456 -rfc -file serv✔δ★<er.cer

3.3、生(shēng)成客戶端信任證書(shū)庫(由服務端證書(shū)生(<×₹shēng)成的(de)證書(shū)庫,客戶端使用(yòng)此證書(shū)驗證服務端來&✘₽ (lái)源可(kě)靠)
keytool -import -v -alias server -fil↔‌≠'e server.cer -keystore clφ☆≈ ient.truststore -store₩εpass 123456 -storetype BKS -p"¶β♣rovider org.bouncycastle.jce.pr$≠☆₽ovider.BouncyCastleProvider

注:-storetype BKS 是(shì)生(shēng)≈₩φ✔成android上(shàng)面可(kě)以識别的(de)格式,如(rú±₹)果不(bù)指定jdk默認生(shēng)成的(de)格式是(shì)JKS.€∑ε©
-provider org.bouncycastle.jce.provider.Bou¥≈<ncyCastleProvider,需要(yào)下(xià)載jar包bcpr£>✔↑ov-jdk16-1.46.jar放(fàng)到(dào)jdk1.7.0♥&§ε_65\jre\lib\ext\目錄下(xià).
注意需要(yào)jdk16,其他(tā)的(de)版本andro♦σid下(xià)面有(yǒu)版本不(bù)匹配的(dσ∏e)問(wèn)題.


4、客戶端相(xiàng)關操作(zuò)
4.1、生(shēng)成客戶端證書(shū)庫
keytool -validity 36500 -genkeyp₹←→air -v -alias client -keyalg RSA -s∏★toretype PKCS12 -keystore client.p12 -dname &q䧣♥uot;CN=clients.itjoyee.com, ×₹≤OU=jiajianfa,O=jiajianfa,L=Wuhan,ST=HuBei,c=cn&qu®∞©ot; -storepass 123456 -keypass 123456

4.2、從(cóng)客戶端證書(shū)庫中↕×導出客戶端證書(shū)
keytool -export -v -alias clien→≈ >t -keystore client.p12 -store✘∑Ωtype PKCS12 -storepass 123456 -rfc -file clien÷Ω÷‍t.cer

注:客戶端證書(shū)可(kě)以産生(shēng)多(duō)個(gè).

4.3、将客戶端證書(shū)導入到(dào)服務器(qì Ω×)證書(shū)庫(使得(de)服務器(qì)信任客戶端證書(shū),服務器(qì)端>≤用(yòng)此驗證客戶端的(de)合法性)
keytool -import -v - ×✘alias client -file client.cer -γ≠keystore server.keys☆♥≈♣tore -storepass 123456

4.4、查看(kàn)服務端證書(shū)中信任的(de)客戶端證書(shū)' ≈
keytool -list -keystore server.keystore -stoπ®repass 123456

5、服務器(qì)端配置
由于使用(yòng)tomcat,下(xià)↔♥面使用(yòng)tomcat做(zuò)為(wèi)實例配置.
5.1、在tomcat安裝目錄下(xià)新建key目錄,将上(shàng)面生(shΩ§↑×ēng)成的(de)server.keystore複制(zhì)過去(qù).
5.2、編輯tomcat安裝目錄下(xià)γπ☆♥的(de)conf目錄下(xià)的(de)server.xml↕✘¥,如(rú):d:\sslDemo\apache-♥‍> tomcat-7.0.55\conf\server€≤ .xml
找到(dào)Connector,修改如(rú)下(xià):

?
1
2
3
4
5
6
7
<Connector port="8444" protocol="org.apache.coyote.http11.Http11NioProto✘≠ σcol"
maxThreads="150"
SSLEnabled="true" scheme="https" secure="true"
keystoreFile="${catalina.base₽"}/key/server.keystore&♣÷♥αquot; keystorePass="123456"
clientAuth="true" sslProtocol="TLS"
truststoreFile="${catalina.base}/key/server.key♥Ωstore" truststorePass="123456"/>

注:
port配置https訪問(wèn)的(λ±≠de)端口
SSLEnabled="true&qu≥∏>σot; 開(kāi)啓https服務
scheme="https"
secure="true"≠δ§ 開(kāi)啓服務端安全通(tōng)信,客戶端獲取服務器(qì)端證書(shū↔✘§)
keystoreFile="${catali →na.base}/key/server.keystore" keystorePaΩε↓ss="123456" 服務ε §器(qì)證書(shū)庫

clientAuth="true" 開(kāi)啓驗證客戶λ₽Ωε端
sslProtocol="TLS" 使用(yòn∏→€♥g)的(de)協議(yì)
truststoreFile="${cat∑↓δalina.base}/key/server.key☆€↔store" truststorePass"♣="123456" 服務器(qì)證書✘‍→Ω(shū)庫(已導入客戶端證書(shū))

6、測試
由于生(shēng)成證書(shū)CN配置的(de)是(shì)www.itjoyee.c‍★αom,故需要(yào)修改C:\Windows\System32\driv> >ers\etc\hosts
添加

192.168.0.50 www.itjoyee.com
注:
192.168.0.50 為(wèi)服務器(qì)的(de)ip

啓動tomcat
打開(kāi)浏覽器(qì)
地(dì)址欄輸入 http://www.itjoyee.com:8080/
可(kě)以訪問(wèn)

地(dì)址欄輸入https://www.itjoyee.com:8444/
訪問(wèn)結果,為(wèi)無法顯示,因為(wèi)，沒有(yǒ ↓u)使服務器(qì)端生(shēng)成的(de)信任的(de)客戶端證書(shū•&↕)

雙擊client.p12,輸入密碼,在此訪問(wèn)https://www.it♣∏joyee.com:8444/
此時(shí)會(huì)有(yǒu)證書(φ≤δshū)相(xiàng)關的(de)提示,點擊"确認&±•quot;,接著(zhe)會(huì)提示網站(zhàn)≤≤✘安全證書(shū)有(yǒu)問(wèn)題,點擊繼續訪問(wèn),即可(kě)進入α✘₽§正常訪問(wèn)頁面

7、tomcat下(xià)的(de)服務強制(zhì•™₽)使用(yòng)ssl配置
已ROOT服務為(wèi)例,修改D:\sslDemo\ap$γαΩache-tomcat-7.0.55\webapps\ROOδ←₩ T\WEB-INF\web.xml
添加

1
2
3
4
5
6
7
8
9
<security-constraint>
<web-resource-collection>
<web-resource-name >SSL</web-resource-name>
<url-pattern>/*</url-pattern>
</web-resource-collection>
<user-data-constraint>
<transport-guarantee>CONFIDENTIAL</transport-guarantee>
</user-data-constraint>
</security-constraint>

打開(kāi)浏覽器(qì)
地(dì)址欄輸入 http://www.itjoyee.com:80₩→80/會(huì)有(yǒu)證書(shū)相(xiàng)關提示


為(wèi)了(le)方便測試andro&✔₹​id下(xià)雙向認證可(kě)以用(yòngγ→),生(shēng)成證書(shū)的(de)時(shí)候把♣★‍域名換成服務器(qì)的(de)ip地(dì)址,驗證才可(kě)以通(tōng)×≈↑過

1、android app 代碼實現(xiàn)

?
1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
32
33
34
35
36
37
38
39
40
41
42
43
44
45
46
47
48
49
50
51
52
53
54
55
56
57
58
59
60
61
62
63
64
65
66
67
68
69
70
71
72
73
74
75
76
77
78
79
80
81
82
83
84
85
86
87
88
89
AsyncTask testTask =↔λ&∞ new AsyncTask() {
@Override
protected Object doInBackground(Object... params) {
try {
HttpClient httpsClient = AppSslApplication.gφ★etHttpsClient(MainActivity.this.getBaseContext());
HttpGet httpget = new HttpGet(HTTPS_URL);
HttpResponse response = httpsClie★☆✘nt.execute(httpget);
HttpEntity entity = response β.getEntity();
Log.e("Response status", response.getStatusLine()★♠.toString());
if (entity != null) {
Log.e("Response", "Response conten ÷t length: " + entity.getContentLength());
BufferedReader bufferedRea> ₩©der = new BufferedReader(new InputStreamReader(entiπ£ ty.getContent()));
String text;
while ((text = bufferedReader.readLine()) != null) {
Log.e("Response status", text);
}
bufferedReader.close();
}
httpsClient.getConnectionManager().shu↕'σ≠tdown();
} catch (ClientProtocolException e) {
e.printStackTrace();π$↕≥
} catch (IllegalStateException e) {
e.printStackTrace();
} catch (IOException e) {
e.printStackTrace();
}
return null;
}
};
testTask.execute();
public class HttpClientSslHelper {
private static final String KEY_STORE_TYPE_BKS = "bks";
private static final String KEY_STORE_TYPE_P1>®π2 = "PKCS12";
private static final String SCHEME_HTTPS = "https";
private static final int HTTPS_PORT = 8444;
private static final String KEY_STORE_CLIENT_PATH = "client.p12";
private static final String KEY_STORE_TRUST_PATH =λ∏‍ "client.truststore";
private static final String KEY_STORE_PASSWORD = "123456";
private static final String KEY_STORE_TRUST_PASSWORD = "123456";
private static KeyStore keyStore;
private static KeyStore trustStore;
public static HttpClient getSslHttpClient(Con≈®"‍text pContext) {
HttpClient httpsClient = new DefaultHttpClient();¶ $π
try {
// 服務器(qì)端需要(yào)驗證的(de)客戶端證書(shū)
keyStore = KeyStore.getInstance(KEY_STORE_T↕↕πYPE_P12);
// 客戶端信任的(de)服務器(qì)端證書(shū)
trustStore = KeyStore.getIns↓©tance(KEY_STORE_TYPE_BKS);
InputStream ksIn = pContex∞→t.getResources().getAssets().open(KEY_STORE_CLIEN‌☆σ™T_PATH);
InputStream tsIn = pContext.getResources().∑≈ getAssets().open(KEY_STORE_TRU ™λST_PATH);
try {
keyStore.load(ksIn, KEY_STORE_PASSWORD.✘↔↓λtoCharArray());
trustStore.load(tsIn, KEY_STORE_TRUST_PAS✘λ↕←SWORD.toCharArray());
} catch (Exception e) {
e.printStackTrace();
} finally {
try {
ksIn.close();
} catch (Exception ignore) {
}
try {
tsIn.close();
} catch (Exception ignore) {
}
}
SSLSocketFactory socketFactory = new SSLSocketFactory(keyStore, K♠♠EY_STORE_PASSWORD, truεπ↑stStore);
Scheme sch = new Scheme(SCHEME_HTTPS, socketFac™φ↔γtory, HTTPS_PORT);
httpsClient.getConnectionManager().getS₽✔≥chemeRegistry().register(sch♣≈☆₽);
} catch (KeyManagementException εγδσe) {
e.printStackTrace();
} catch (UnrecoverableKeyExcepti€←¶on e) {
e.printStackTrace();
} catch (KeyStoreException e) {
e.printStackTrace();
} catch (FileNotFoundException e↔€∞) {
e.printStackTrace();
} catch (NoSuchAlgorithmExcept ♦£®ion e) {
e.printStackTrace();
} catch (ClientProtocolException e) {
e.printStackTrace();
} catch (IOException e) {
e.printStackTrace();
}
return httpsClient;
}
}

2、android浏覽器(qì)實現(xiàn)φ✘
1.先把你(nǐ)的(de)CA證書(shū)拷貝到(dào)你(nǐ)的(©≈de)SD卡裡(lǐ)面
2.進入手機(jī)的(de)"設置&q£♥×uot;->"位置和(hé)安全"，最•πφ下(xià)面有(yǒu)個(gè)"從(cóng)SD卡安裝&q &≠uot;，就(jiù)是(shì)安裝證書₽β•(shū)的(de)。
---------暫時(shí)沒有(yǒu)實現(xiàn)


http://my.oschina.net/jjface/blog/339144