文章/答案/技术大牛

发布

社区首页 >问答首页 >SSLServerSocket和证书设置

问SSLServerSocket和证书设置
EN

Stack Overflow用户

提问于 2018-11-15 16:27:39

回答 2查看 12.6K关注 0票数 3

我使用ServerSocket和Socket对象编写了一个客户机/服务器Java程序。然后，我修改了代码以使用SSLServerSocket和'SSLSocket`‘，但是引发了不同的异常，包括：

javax.net.ssl.SSLHandshakeException: no cipher suites in common

我希望尽我所能多做一些编程工作。我也可以使用自我签署的证书。

我遵循的一篇教程建议使用keytool java应用程序创建一个证书，然后将该文件移动到您的java项目中。我使用终端命令keytool -genkey -alias zastore -keyalg RSA -keystore za.store完成了这一操作。我指定密码为password。

然后，我调用函数System.setProperty，希望SSLSockets能够工作，但它仍然没有工作。

这是我的服务器代码

public class Server implements Runnable
{
    private SSLServerSocket serverSocket;
    private int portNumber;
    private Thread acceptThread;

    private LinkedList<Connection> connections;

    private ConnectionListener connectionListener;

    public Server(int port, ConnectionListener connectionListener)
    {
        this.connectionListener = connectionListener;
        portNumber = port;
        connections = new LinkedList<Connection>();
        try 
        {
            System.setProperty("javax.net.ssl.trustStore", "za.store");
            System.setProperty("javax.net.ssl.keyStorePassword", "password");
            SSLServerSocketFactory sslssf = (SSLServerSocketFactory) SSLServerSocketFactory.getDefault();

            serverSocket = (SSLServerSocket) sslssf.createServerSocket(portNumber,15);

        } 
        catch (IOException e) 
        {
            e.printStackTrace();
        }
    }

    public void startListening()
    {
        acceptThread = new Thread(this);
        acceptThread.start();
    }
    public void stopListening()
    {

        for(Connection c:connections)
        {
            c.stopListeningAndDisconnect();
        }

        try 
        {   
            serverSocket.close();
        } 
        catch (IOException e) 
        {
            // TODO Auto-generated catch block
            e.printStackTrace();
        }
    }
    @Override
    public void run() 
    {
        try 
        {
            while(true)
            {
                SSLSocket s = (SSLSocket) serverSocket.accept();
                Connection c = new Connection(s,connectionListener);
                connections.add(c);
                System.out.println("New Connection Established From"+s.getInetAddress().toString());
            }
        } 
        catch(java.net.SocketException e)
        {
            System.out.println("Listening thread terminated with exception.");
        }
        catch(IOException e) 
        {

            e.printStackTrace();
        }
    }

    public void removeConnection(Connection c)
    {
        connections.remove(c);
    }

    public void printConnections()
    {
        System.out.println("Number of connections "+connections.toString());

        for(int i=0; i<connections.size(); i++)
        {
            System.out.println(connections.toString());
        }
    }

}

然后是我的客户端代码的一个片段，当按下按钮时连接：

@Override
    public void actionPerformed(ActionEvent e) 
    {
        if(e.getSource() == connect)
        {
            try 
            {
                System.setProperty("javax.net.ssl.trustStore", "za.store");
                System.setProperty("javax.net.ssl.keyStorePassword", "password");



                SSLSocketFactory sslsf = (SSLSocketFactory)SSLSocketFactory.getDefault();

                SSLSocket s = (SSLSocket)sslsf.createSocket(ipBox.getText(), Integer.parseInt(portBox.getText()));
                Connection c = new Connection(s,parent);
                parent.connectionSuccessful(c);
            } 
            catch (NumberFormatException e1) 
            {
                JOptionPane.showMessageDialog(this, "Error! Port number must be a number", "Error", JOptionPane.ERROR_MESSAGE);             
            } 
            catch (UnknownHostException e1) 
            {
                JOptionPane.showMessageDialog(this, "Error! Unable to find that host", "Error", JOptionPane.ERROR_MESSAGE);
            } 
            catch (IOException e1) 
            {


e1.printStackTrace();
        }   
    }
}

一篇Stackoverflow文章建议我的服务器“没有证书”。我不知道这意味着什么，也不知道该如何去得到一个，并把它定位在正确的地方。

java

ssl

serversocket

回答 2

Stack Overflow用户

回答已采纳

发布于 2018-11-15 17:40:22

由于各种原因，可能会出现以下错误：

javax.net.ssl.SSLHandshakeException: no cipher suites in common

调试时要检查的点：

密钥存储库和信任存储库被正确加载并用于创建套接字连接。
证书与启用的密码套件兼容。
至少应该在客户端和服务器上启用一个通用密码套件，并且该密码套件也应该与证书兼容。

例如，在下面的示例中，我在默认的密码套件集中使用Java 8。我生成的证书使用的是ECDSA和SHA384，因此当在服务器和客户端之间建立TLS连接时，通过启用调试(System.setProperty("javax.net.debug", "ssl");)，我可以看到协商密码套件是TLS_ECDHE_ECDSA_WITH_AES_256_CBC_SHA384。

以下是一个工作实例：

作为第一步，需要创建密钥对和证书。为了进行测试，让我们创建一个自签名证书，并将相同的证书用于服务器和客户端：

keytool -genkeypair -alias server -keyalg EC \
-sigalg SHA384withECDSA -keysize 256 -keystore servercert.p12 \
-storetype pkcs12 -v -storepass abc123 -validity 10000 -ext san=ip:127.0.0.1

现在让我们创建服务器：

package com.sapbasu.javastudy;

import java.io.InputStream;
import java.io.PrintWriter;
import java.net.ServerSocket;
import java.net.Socket;
import java.security.KeyStore;
import java.security.SecureRandom;
import java.util.Objects;

import javax.net.ssl.KeyManagerFactory;
import javax.net.ssl.SSLContext;
import javax.net.ssl.SSLServerSocket;
import javax.net.ssl.SSLServerSocketFactory;
import javax.net.ssl.TrustManagerFactory;

/*
 * keytool -genkeypair -alias server -keyalg EC \
 * -sigalg SHA384withECDSA -keysize 256 -keystore servercert.p12 \
 * -storetype pkcs12 -v -storepass abc123 -validity 10000 -ext san=ip:127.0.0.1
 */

public class TLSServer {
  public void serve(int port, String tlsVersion, String trustStoreName,
      char[] trustStorePassword, String keyStoreName, char[] keyStorePassword)
      throws Exception {

    Objects.requireNonNull(tlsVersion, "TLS version is mandatory");

    if (port <= 0) {
      throw new IllegalArgumentException(
          "Port number cannot be less than or equal to 0");
    }

    KeyStore trustStore = KeyStore.getInstance(KeyStore.getDefaultType());
    InputStream tstore = TLSServer.class
        .getResourceAsStream("/" + trustStoreName);
    trustStore.load(tstore, trustStorePassword);
    tstore.close();
    TrustManagerFactory tmf = TrustManagerFactory
        .getInstance(TrustManagerFactory.getDefaultAlgorithm());
    tmf.init(trustStore);

    KeyStore keyStore = KeyStore.getInstance(KeyStore.getDefaultType());
    InputStream kstore = TLSServer.class
        .getResourceAsStream("/" + keyStoreName);
    keyStore.load(kstore, keyStorePassword);
    KeyManagerFactory kmf = KeyManagerFactory
        .getInstance(KeyManagerFactory.getDefaultAlgorithm());
    kmf.init(keyStore, keyStorePassword);
    SSLContext ctx = SSLContext.getInstance("TLS");
    ctx.init(kmf.getKeyManagers(), tmf.getTrustManagers(),
        SecureRandom.getInstanceStrong());

    SSLServerSocketFactory factory = ctx.getServerSocketFactory();
    try (ServerSocket listener = factory.createServerSocket(port)) {
      SSLServerSocket sslListener = (SSLServerSocket) listener;

      sslListener.setNeedClientAuth(true);
      sslListener.setEnabledProtocols(new String[] {tlsVersion});
      // NIO to be implemented
      while (true) {
        try (Socket socket = sslListener.accept()) {
          PrintWriter out = new PrintWriter(socket.getOutputStream(), true);
          out.println("Hello World!");
        } catch (Exception e) {
          e.printStackTrace();
        }
      }
    }
  }
}

现在创建客户端：

package com.sapbasu.javastudy;

import java.io.BufferedReader;
import java.io.InputStream;
import java.io.InputStreamReader;
import java.net.InetAddress;
import java.net.Socket;
import java.security.KeyStore;
import java.security.SecureRandom;
import java.util.Objects;

import javax.net.SocketFactory;
import javax.net.ssl.KeyManagerFactory;
import javax.net.ssl.SSLContext;
import javax.net.ssl.SSLParameters;
import javax.net.ssl.SSLSocket;
import javax.net.ssl.TrustManagerFactory;

public class TLSClient {
  public String request(InetAddress serverHost, int serverPort,
      String tlsVersion, String trustStoreName, char[] trustStorePassword,
      String keyStoreName, char[] keyStorePassword) throws Exception {

    Objects.requireNonNull(tlsVersion, "TLS version is mandatory");

    Objects.requireNonNull(serverHost, "Server host cannot be null");

    if (serverPort <= 0) {
      throw new IllegalArgumentException(
          "Server port cannot be lesss than or equal to 0");
    }

    KeyStore trustStore = KeyStore.getInstance(KeyStore.getDefaultType());
    InputStream tstore = TLSClient.class
        .getResourceAsStream("/" + trustStoreName);
    trustStore.load(tstore, trustStorePassword);
    tstore.close();
    TrustManagerFactory tmf = TrustManagerFactory
        .getInstance(TrustManagerFactory.getDefaultAlgorithm());
    tmf.init(trustStore);

    KeyStore keyStore = KeyStore.getInstance(KeyStore.getDefaultType());
    InputStream kstore = TLSClient.class
        .getResourceAsStream("/" + keyStoreName);
    keyStore.load(kstore, keyStorePassword);
    KeyManagerFactory kmf = KeyManagerFactory
        .getInstance(KeyManagerFactory.getDefaultAlgorithm());
    kmf.init(keyStore, keyStorePassword);
    SSLContext ctx = SSLContext.getInstance("TLS");
    ctx.init(kmf.getKeyManagers(), tmf.getTrustManagers(),
        SecureRandom.getInstanceStrong());

    SocketFactory factory = ctx.getSocketFactory();

    try (Socket connection = factory.createSocket(serverHost, serverPort)) {
      ((SSLSocket) connection).setEnabledProtocols(new String[] {tlsVersion});
      SSLParameters sslParams = new SSLParameters();
      sslParams.setEndpointIdentificationAlgorithm("HTTPS");
      ((SSLSocket) connection).setSSLParameters(sslParams);

      BufferedReader input = new BufferedReader(
          new InputStreamReader(connection.getInputStream()));
      return input.readLine();
    }
  }
}

最后，下面是一个测试连接的JUnit测试：

package com.sapbasu.javastudy;

import static org.junit.jupiter.api.Assertions.assertEquals;

import java.net.InetAddress;
import java.util.concurrent.ExecutorService;
import java.util.concurrent.Executors;

import org.junit.jupiter.api.Test;

public class TLSServerClientTest {

  private static final int SERVER_PORT = 8444;
  private static final String TLS_VERSION = "TLSv1.2";
  private static final int SERVER_COUNT = 1;
  private static final String SERVER_HOST_NAME = "127.0.0.1";
  private static final String TRUST_STORE_NAME = "servercert.p12";
  private static final char[] TRUST_STORE_PWD = new char[] {'a', 'b', 'c', '1',
      '2', '3'};
  private static final String KEY_STORE_NAME = "servercert.p12";
  private static final char[] KEY_STORE_PWD = new char[] {'a', 'b', 'c', '1',
      '2', '3'};

  @Test
  public void whenClientSendsServerRequest_givenServerIsUp_returnsHelloWorld()
      throws Exception {
    TLSServer server = new TLSServer();
    TLSClient client = new TLSClient();

    System.setProperty("javax.net.debug", "ssl");

    ExecutorService serverExecutor = Executors.newFixedThreadPool(SERVER_COUNT);
    serverExecutor.submit(() -> {
      try {
        server.serve(SERVER_PORT, TLS_VERSION, TRUST_STORE_NAME,
            TRUST_STORE_PWD, KEY_STORE_NAME, KEY_STORE_PWD);
      } catch (Exception e) {
        e.printStackTrace();
      }
    });
    try {
      String returnedValue = client.request(
          InetAddress.getByName(SERVER_HOST_NAME), SERVER_PORT, TLS_VERSION,
          TRUST_STORE_NAME, TRUST_STORE_PWD, KEY_STORE_NAME, KEY_STORE_PWD);
      assertEquals("Hello World!", returnedValue);
    } catch (Exception e) {
      e.printStackTrace();
      throw e;
    }
  }
}

注意:证书(本例中的servercert.p12)应该位于类路径中。在本例中，我将其保存在Maven文件夹结构的test/resources文件夹中，以便JUnit测试能够在类路径中获得它。

密码套件背景

当使用TLS/SSL时，要使用的密码算法由密码套件决定。服务器支持一组密码套件(您可以根据您的需要和安全级别启用或禁用某些套件)。客户端还支持一组密码套件。在连接设置期间，要使用的密码套件在客户端和服务器之间进行协商。如果服务器支持该特定的密码套件，则客户端首选项将得到满足。

您可以找到Sun提供程序支持的加密套件列表，直到Java 8 这里为止。

典型的密码套件名称如下所示：

TLS_ECDHE_ECDSA_WITH_AES_128_GCM_SHA256

这里,

ECDHE是椭圆曲线Diffie的缩写。这是一个密钥交换算法。椭圆变体(第一个E)用于性能，而临时变体(最后一个E)用于前向保密。前向保密意味着，如果攻击者继续记录TLS上的所有通信，并在稍后的某个时间点以某种方式获取私钥，他/她就无法解密过去记录的通信。

ECDSA是一种用于密钥签名的数字签名算法，用于验证共享秘密的完整性。ECDSA比其他认证算法(如HMAC )更弱，速度更慢。然而，它被用于共享密钥身份验证，因为它不需要验证者知道用于创建身份验证标记的秘密密钥。服务器可以很好地使用其私钥来验证消息的完整性。

AES_128_GCM -一旦双方(通常是浏览器和web服务器)共享公共密钥，就会使用对称分组密码算法加密双方之间的消息交换。在这种情况下，采用128位密钥的分组密码AES和GCM认证模式。

PRF的SHA256 -哈希算法

票数 16

Stack Overflow用户

发布于 2018-11-17 00:39:14

您的系统属性设置错误。

服务器需要javax.net.keyStore (不是trustStore)和javax.net.keyStorePassword --有时需要javax.net.keyStoreType，但在您的情况下可能不需要。对于使用自签名证书的服务器，客户端需要信任库包含该证书，而根本不需要任何密钥存储库。尽管没有文档化，但是如果它们位于同一个系统上，您可以使用服务器密钥库(包含privateKeyEntry)作为客户端信任库，而JSSE会自动将privateKey的叶证书作为trustedCert。在任何其他情况下，您都需要提取服务器的证书(不是键)，将其复制/发送到客户端，并使用keytool -importcert将证书(不是密钥)放入用作信任存储库的密钥库文件；这可以是一个自定义文件(用sysprops标识)，也可以是JRE/lib/security/cacerts的默认信任库(除非在当前的\Program Files[ (x86)]下，如果JRE是在\Program Files[ (x86)]下，安装程序是默认的，因为现在Windows会干扰试图更改那里文件的人)。

在加载JSSE类之前，必须设置这些sysprop(当使用时) --在调用SSL[Server]SocketFactory时设置它们通常为时已晚。通常，它们是在使用-Dname=value选项调用Java的命令行上设置的；这保证足够早地完成。如果无法做到这一点，请将setProperty调用放在main方法的开头，或与GUI等效。

这体现为“无通用/共享密码”，因为没有key+cert，服务器就无法支持执行服务器身份验证的加密套件，而在默认情况下，Java/JSSE只启用执行服务器身份验证的加密套件，因为在许多/大多数情况下，其他加密套件都是不安全的。

我肯定我以前已经回答过第二部分，但找不到假的。第一部分已经有很多答案，但通常在问题中没有清楚地提出。

票数 1

页面原文内容由Stack Overflow提供。腾讯云小微IT领域专用引擎提供翻译支持

原文链接：

https://stackoverflow.com/questions/53323855

复制

相似问题

问SSLServerSocket和证书设置
EN

回答 2

Stack Overflow用户

Stack Overflow用户

社区

活动

圈层

关于

腾讯云开发者

热门产品

热门推荐

更多推荐

问SSLServerSocket和证书设置EN

回答 2

Stack Overflow用户

Stack Overflow用户

社区

活动

圈层

关于

腾讯云开发者

热门产品

热门推荐

更多推荐

问SSLServerSocket和证书设置
EN