sslandroid的简单介绍

android ssl证书 放到哪里

ssl证书是放在服务器的,有身份验证和数据传输加密的作用,建议安装。数安时代可以提供受信任的ssl证书,免费付费的都有~

创新互联公司主营灌云网站建设的网络公司,主营网站建设方案,重庆APP开发,灌云h5微信平台小程序开发搭建,灌云网站营销推广欢迎灌云等地区企业咨询

android下的SSL证书信任问题怎么解决

1、创建MySSLSocketFactory 对象 :Throw Excetion

CertificateFactory cf = CertificateFactory.getInstance("X.509");

InputStream inStream = context.getAssets().open("信用证书");

Certificate ca;

try {

ca = cf.generateCertificate(inStream);

} finally {

inStream.close();

}

KeyStore keyStore = KeyStore.getInstance(KeyStore.getDefaultType());

keyStore.load(null, null);

keyStore.setCertificateEntry("ca", ca);

MySSLSocketFactory sslFactory = new MySSLSocketFactory(keyStore)

2、将 MySSLSocketFactory传入 http通信 , 这里以 HttpAsyncTask 作为http通信框架:

AsyncHttpClient client = new AsyncHttpClient();

client.setSSLSocketFactory(sslFactory);

client.get(urlString, params, new AsyncHttpResponseHandler() {

// TODO: 2017/1/5  

}

如何访问一个SSL连接通过Android的

在用Android平台上使用SSL,需要三步:

第一步 生成证书

1. 生成服务器端的证书

keytool -genkey -alias test -keystore test.jks

2. 将keystore中的cert导出来,用来生成客户端的验证证书

keytool -exportcert -alias test -file test.cert -keystore test.jks

3. 生成Android平台的证书

因为Android 要求要BC证书,而Java的keytool本身不提供BKS格式,因此要自己

手动配置。个人在配置的过程到了文件正在使用中,保存失败的情况,我的做法是将

文件备份一下,用unlocker删除后将修改好备份放到原位置就好了。方法如下:

(1) 下载 bcprov-ext-jdk15on-146.jar 

可以选择到官网,也可以到我上传好的文件去下载,注意,用最新的149版本的会

有证书版本号不对的异常,改用146的则没有这个问题

(2) 配置bcprov

在 jdk_home\jre\lib\security\目录中找到 java.security 在内容增加一行(数字

可以自己定义)

security.provider.11=org.bouncycastle.jce.provider.BouncyCastleProvider

(3) 生成android平台的证书

keytool -importcert -keystore test.bks -file test.cert -storetype BKS -provider org.bouncycastle.jce.provider.BouncyCastleProvider

第二步 编写服务器代码(主要代码如下)

import java.io.BufferedInputStream;

import java.io.FileNotFoundException;

import java.io.IOException;

import java.io.InputStream;

import java.io.ObjectInputStream;

import java.io.ObjectOutputStream;

import java.net.ServerSocket;

import java.net.Socket;

import java.net.SocketAddress;

import java.security.KeyManagementException;

import java.security.KeyStore;

import java.security.KeyStoreException;

import java.security.NoSuchAlgorithmException;

import java.security.UnrecoverableKeyException;

import java.security.cert.CertificateException;

import javax.net.ServerSocketFactory;

import javax.net.ssl.KeyManager;

import javax.net.ssl.KeyManagerFactory;

import javax.net.ssl.SSLContext;

/**

* @TODO    java线程开发之四 SSL加密

* 开发步骤

* 1.生成服务端密钥

* 2.导出服务端证书

* 3.生成客户端密钥

* 4.程序开发测试

* 参考资料:

* @version 1.0

* @date 2013-5-7 23:22:45    

* @update 2013-5-8 10:22:45    

*/

public class Server {

private ServerSocket serverSocket;

private final static char[] password="1qaz2wsx".toCharArray();

private SSLContext context;

private InputStream inputStream;

public Server() {

inputStream=this.getClass().getResourceAsStream("/test.jks");

initContext();

try {

//直接运行会报 javax.net.ssl.SSLException:

//ServerSocketFactory factory=     SSLServerSocketFactory.getDefault();

ServerSocketFactory factory=     context.getServerSocketFactory();

//            serverSocket = new ServerSocket(10000);

serverSocket=factory.createServerSocket(10000);

System.out.println("======启动安全SocektServer成功=========");

while (true) {

Socket socket = serverSocket.accept();

new ReceiveSocket(socket).start();

}

} catch (IOException e) {

e.printStackTrace();

}

}

//ssl 上下文对象的初始化

private void initContext() {

try {

KeyStore store=KeyStore.getInstance("JKS");

store.load(inputStream, password);

KeyManagerFactory factory=KeyManagerFactory.getInstance("SunX509");

factory.init(store,password);

KeyManager []keyManagers=factory.getKeyManagers();

context=SSLContext.getInstance("SSL");

context.init(keyManagers, null    , null);

} catch (KeyStoreException e) {

e.printStackTrace();

} catch (NoSuchAlgorithmException e) {

e.printStackTrace();

} catch (CertificateException e) {

e.printStackTrace();

} catch (FileNotFoundException e) {

e.printStackTrace();

} catch (IOException e) {

e.printStackTrace();

} catch (UnrecoverableKeyException e) {

e.printStackTrace();

} catch (KeyManagementException e) {

e.printStackTrace();

}

}

public static void main(String[] args) {

new Server();

}

private class ReceiveSocket extends Thread {

private Socket socket;

public ReceiveSocket(Socket socket) {

this.socket = socket;

}

private ObjectInputStream reader;

private ObjectOutputStream writer;

@Override

public void run() {

try {

reader=new ObjectInputStream(new BufferedInputStream(socket.getInputStream()));

//writer=new ObjectOutputStream(socket.getOutputStream());

// 开启无限循环 监控消息

//java.io.EOFException

Object obj=    reader.readUTF();

SocketAddress address = socket.getRemoteSocketAddress();

System.out.println(address.toString() + "\t" + obj);

//                Object obj=    reader.readObject();

//                    if(obj!=null)

//                    {

//                        User user =(User)obj;

//                        System.out.println("id=="+user.getPassword()+"\tname=="+user.getName());

//                    }

//    while (true) {}

} catch (IOException e) {

e.printStackTrace();

} finally {

if (null != reader) {

try {

reader.close();

} catch (IOException e) {

e.printStackTrace();

}

}

if (null != writer) {

try {

reader.close();

} catch (IOException e) {

e.printStackTrace();

}

}

try {

socket.close();

} catch (IOException e) {

e.printStackTrace();

}

}

}

}

}

第三步  Android端代码

主要是发送数据的代码

protected Void doInBackground(Void... params) {

Log.i(TAG, "doInBackground");

try {

SSLContext context;

KeyStore ts = KeyStore.getInstance("BKS");

ts.load(getResources().openRawResource(R.raw.test),

"1qaz2wsx".toCharArray());

TrustManagerFactory tmf = TrustManagerFactory

.getInstance("X509");

tmf.init(ts);

TrustManager[] tm = tmf.getTrustManagers();

context = SSLContext.getInstance("SSL");

context.init(null, tm, null);

SocketFactory factory = context.getSocketFactory();

SSLSocket socket = (SSLSocket) factory.createSocket(

"192.168.70.249", 10000);

ObjectOutputStream out = new ObjectOutputStream(

socket.getOutputStream());

out.writeUTF(UUID.randomUUID().toString());

out.flush();

System.out.println("========客户端发送成功=========");

;

socket.close();

} catch (Exception ex) {

ex.printStackTrace();

}

return null;

}

以上是主要流程代码,可以根据自身需要适当进行修改

一文弄懂关于证书,签名,ssl,android包签名机制。

所有的概念都基于一个非常重要的基础:

rsa 非对称加密算法 :

先感受下几个概念

PKI。

PKI是公钥基础设施(Public Key Infrastructure) 包括PKI策略、软硬件系统、证书机构CA、注册机构RA、证书发布系统和PKI应用等。

我们关注就俩东西: PKCS 证书机构CA 。前者是定义加密算法,签名,证书相关的各种事情采用的协议。后者可以为我们颁发权威的证书。

PKCS :

PKCS(The Public-Key Cryptography Standards )是由美国RSA数据安全公司及其合作伙伴制定的一组公钥密码学标准,其中包括证书申请、证书更新、证书作废表发布、扩展证书内容以及数字签名、数字信封的格式等方面的一系列相关协议。RSA算法可以做加密、解密、签名、验证,还有RSA的密钥对存储。这些都需要标准来规范,如何输入,如何输出,如何存储等。

PKCS。全称是公钥密码学标准, 目前共发布过 15 个标准,这些标准都是协议。总结一下 就是对加密算法,签名,证书协议的描述。下面列举一些常用的协议,这些协议在本文都会对应上。

这些协议具体的实现就体现在openssl等工具中, 以及jdk工具keytool jdk java第三方库bouncycastle。

比如用openssl 如何生成公/私钥(PKCS#1)、签名(PKCS#1 )、签名请求文件(KCS#10)、 带口令的私钥(PKCS#8)。 含私钥的证书(PKCS#12)、证书库(PKCS#12)

其中涉及到算法的基础协议PKCS#1等,由于涉及到密码学原理所以我们并不需要深究它,只要知道怎么做就可以了。

现实中我们要解决这样一种情况:

客户端和服务器之间的数据要进行加密。需要两个达成同一个对称秘钥加密才行,那么这个秘钥如何生成,并在两边都能拿到,并保证传输过程中不被泄露。 这就用到非对称加密了。 后续的传输,就能用这个 对称秘钥来加密和解密了。

还有这样一个问题:

就是客户端如何判断服务端是否是合法的服务端。这就需要服务端有个id来证明它,而这个id 就是证书,而且必须是权威机构颁发的才能算是合法的。

因为客户端即浏览器,认定证书合法的规则必须通过第三方来确认 即ca颁发的证书。否则就我可能进了一个假网站。

而这两个问题 都是ssl协议要解决的内容。

所以ssl协议做了两件事情,一是验证身份,二是协商对称秘钥,并安全的传输。 而实现这个过程的关键数据模型就是证书, 通过证书中的ca对证书的签名,实现了身份验证,通过证书中的公钥,实现对对称秘钥加密,从而实现数据保密。 其实还顺手做了一件事情就是通过解密签名比对hash,保证了数据完整性。

明白ssl协议 首先明白几个重要的概念:

证书: 顾名思义就是提供了一种在Internet上验证通信实体身份的方式,数字证书不是数字身份证,由权威公正的第三方机构,即CA(例如中国各地方的CA公司)中心签发的证书, 就是可以认定是合法身份的。客户端不需要证书。 证书是用来验证服务端的。

一般的证书都是x509格式证书,这是一种标准的证书,可以和其他证书类型互相转换。完整来说证书包含,证书的内容,包括 版本号, 证书序列号, hash算法, 发行者名称,有效期, 公钥算法,公钥,签名(证书原文以及原文hash一起签名)而这个内容以及格式 都是标准化的,即x509格式 是一种标准的格式。

签名: 就用私钥对一段数据进行加密,得到的密文。 这一段数据在证书的应用上就是 对证书原文+原文hash进行签名。

谁签的名,就是用谁的私钥进行加密。就像身份证一样, 合法的身份证我们都依据是政府签的,才不是假证, 那就是浏览器会有政府的公钥,通过校验(解密)签名,如果能够解密,就可以确定这个就是政府的签名。就对了。

hash算法 :对原始数据进行某种形式的信息提取,被提取出的信息就被称作原始数据的消息摘要。比如,MD5和SHA-1及其大量的变体。 hash算法具有不可逆性,无法从摘要中恢复出任何的原始消息。长度总是固定的。MD5算法摘要的消息有128个比特位,SHA-1算法摘要的消息最终有160比特位的输出。

ca机构: 权威证书颁发机构,浏览器存有ca的公钥,浏览器以此公钥来验证服务端证书的合法性。

证书的获取: 生成证书申请文件.csr(涉及到PKCS#10定义的规范)后向ca机构申请。 或者自己直接通过生成私钥就可以一步到位生成自签名证书。 自签名证书就是用自己的私钥来签名证书。

那么为了体现到 证书身份认证、数据完整、保密性三大特性 ,证书的简化模型可以认为包含以下两个要素:服务器公钥,ca的签名(被ca私钥加密过的证书原文+原文hash),

身份认证:

浏览器存有ca公钥,用ca公钥解密网站发给你的证书中的签名。如果能解密,说明该证书由ca颁发,证书合法。 否则浏览器就会报警告,问你是否信任这个证书,也就是这个网站。这时候的证书可以是任何人签发的,可以自己签发的。 但是中间人攻击。 完全伪造新的证书, 这就没有办法了。 所以还是信任证书的时候要谨慎。

数据完整:

如果你信任该证书的话,这时候就会用证书中的公钥去解密签名,如果是ca签发的证书,那么之前就已经通过ca的公钥去解密签名了。 然后得到证书hash,然后在浏览器重新对证书做hash,两者比对一致的话,说明证书数据没有被篡改。

保密性:

使用证书的公钥对对称秘钥加密保证传输安全,对称秘钥生成后,后续的传输会通过对称秘钥来在服务端和客户端的加解密。

那么ssl协议的具体过程就是:

4.网站接收浏览器发来的数据之后 使用自己的私钥校验签名,并对原文进行hash 与解密出的hash 做比对检查完整性。然后发送编码改变通知,服务器握手结束通知(所有内容做hash )。 发送给客户端校验。

5 客户端校验,校验成功后,之后就用 对称秘钥进行通信了。

总共的过程是 c-s-c- s-c 四次握手。

四次握手简单来说分别是:

1.请求获取证书

2.服务端返回证书,客户端验证了证书的合法性和完整性,同时生成了对称秘钥。

3.客户端把加密的 对称秘钥发给服务器。服务器检查真实性和完整性。

4.服务端返回握手结束通知,客户端再检查一次真实性和完整性。

前两次握手是明文, 后两次握手是密文。 所以都要检查身份真实性和数据完整性。

ca的作用:

ca起到一个权威中间人的角色,如果脱离了ca, 那么证书还是证书,还能加密,保证数据完整性。 但是无法应用在客户端去认定服务器身份合法这个场景下。

下面就详细说下 脱离了ca签发的证书的应用:

自签名证书:

证书如果没有权威机构的签名,就是没有权威机构给你签发身份证。 那么这时候身份认证的场景变了。

这时候的认证场景就变成了,不再是某个官方权威说了算,而是假设第一次碰到这个证书,会认为,这个证书与之捆绑的实体之间是合法的并做记录。如果当这个实体下次捆绑了另一个证书,那么就是非法的。

这种情况常用于android中安装和校验app的时候,会先假设第一次安装的是合法的应用,认定这个app证书中的公钥是合法的公钥。然后通过自签名的证书,校验签名,就能实现后续安装是否合法以及完整性。

android中的如何对app进行身份认定和不被篡改:

android系统在安装app时候会进行校验applicationId,applicationId 不同会认定为不同应用。相同应用,第二次安装会校验证书是否和之前app的证书相同,如果相同则两个包很可能来自同一个身份。 如果证书不同,也就是该包被另一个身份用自己的私钥重新签名过,就会拒绝安装。 然后通过公钥来解密签名,如果能解密,说明身份是ok的。否则拒绝安装。比对解密签名后的hash 与apk包内的cert.sf文件(该文件是apk内所有文件生成的hash文件)是否一致,如果相同则认定为没有被篡改。

android在提交应用商店的问题:

应用商店也会校验 后续的上传和第一次上传时的证书,以及类似上述的后续的一系列校验。防止合法的开发者平台被盗后,上传非法应用。

android在接入第三方sdk的问题:

接入第三方sdk 会提交applicationId 和 sha1 值。 这个sha1值就是对 证书原文的签名后的sha1,也就是证书指纹。这个证书是证书库里最初的那个证书(x509格式),而不是对apk签名后生成的证书(PKCS#7)。一般的证书签名的主体是证书原文本身,而对apk签名还额外会对apk所有文件生成的hash值文件(cert.sf)进行一次签名。

第三方平台会记录 applicationId 与sha1 的对应关系。 当有假冒app试图接入时候,由于会对app内的PKCS#7证书转换为原始的x509格式证书,重新生成sha1值,与用户提交sha1 比对, 如果相同则说明证书很可能是ok的。 因为sha1就是证书的指纹。 之后就会通过证书中的公钥来校验签名,从而最终确认身份合法性以及信息完整性。

第三方平台之所以需要用户去提交证书指纹sha1值,多了这一步,就意味着你的证书是可以更换的,一旦更换了证书,就必须提交新的指纹给我,然后我来做匹配。而应用商店没有这个功能, 一旦你的证书的私钥丢了, 那就必须重新建一个新的app。

总结来看证书的身份认定机制:

在ssl协议下,这种场景是 浏览器用于认定合法的服务器身份。 在自签名证书下,需要用户选择是否信任该证书。

在android app采用自签名证书的场景下, 证书起到了 假设第一次的证书合法,公钥合法,后续如果证书不一致或不能够完成签名校验,就是非法。

证书库:

证书库应该满足PKCS#12协议。 但是jdk提供了制作证书的工具keytool 可以生成keystore类型的证书库,后缀为jks。 keystore pk12可以通过keytool命令互相转换。

证书库是个证书的容器, 可以用来创建数字证书。 在keystore证书库中,所有的数字证书是以一条一条(采用别名alias区别)的形式存入证书库的。证书库中的证书格式为pk12,即包含私钥。 如果导出证书的话, 可以导出为x509不包含私钥的格式 或者pk12包含私钥的证书。 也可以也可以用-import参数加一个证书或证书链到信任证书。

android中一般都采用读取证书库的方式,通过证书库来创建一个证书,通过alias来区分。 所以在签名的时候,一个alias是一个证书,不同的alias是不同的证书,不要搞错了。

几个关系:

证书和非对称加密算法的关系:

证书代表一个身份的主体,包含了非对称秘钥体系中的公钥,以及用私钥对证书签名。这种组织结构,把非对称加密算法从加密的功能,拓宽到了用于身份认证,信息完整性上。这体现在了证书的作用。 本质还是利用了非对称加密算法的特性。

ssl协议和证书的关系。

因为证书解决了客户端对服务器的身份认证(自签名证书除外),同时也解决了加密,和信息完整性,所以ssl协议基于证书来实现。


分享题目:sslandroid的简单介绍
当前路径:http://pwwzsj.com/article/dscseid.html