Android安全加密專題文章索引
- Android安全加密：對稱加密
- Android安全加密：非對稱加密
- Android安全加密：消息摘要Message Digest
- Android安全加密：數(shù)字簽名和數(shù)字證書
- Android安全加密：Https編程
概述
SSL(Secure Sockets Layer 安全套接層)，為網(wǎng)景公司(Netscape)所研發(fā)产徊，用以保障在Internet 上數(shù)據(jù)傳輸之安全纹因，利用數(shù)據(jù)加密(Encryption)技術(shù)，可確保數(shù)據(jù)在網(wǎng)絡(luò)上之傳輸過程中不會被截取及竊聽昼扛。一般通用之規(guī)格為40 bit 之安全標(biāo)準(zhǔn)，美國則已推出128 bit 之更高安全標(biāo)準(zhǔn)欲诺，但限制出境抄谐。只要3.0 版本以上之I.E.或Netscape 瀏覽器即可支持SSL。
TLS（Transport Layer Security 傳輸層安全）扰法，用于在兩個通信應(yīng)用程序之間提供保密性和數(shù)據(jù)完整性蛹含。TLS 是SSL 的標(biāo)準(zhǔn)化后的產(chǎn)物，有1.0 塞颁，1.1 浦箱，1.2 三個版本，默認(rèn)使用1.0祠锣。TLS1.0 和SSL3.0 幾乎沒
有區(qū)別酷窥，事實上我們現(xiàn)在用的都是TLS，但因為歷史上習(xí)慣了SSL 這個稱呼伴网。
SSL 通信簡單圖示：
這里寫圖片描述
SSL 通信詳細(xì)圖示：
這里寫圖片描述
當(dāng)請求使用自簽名證書的網(wǎng)站數(shù)據(jù)時蓬推，例如請求12306 的客運服務(wù)頁面：https://kyfw.12306.cn/otn/，則會報下面的錯誤澡腾，原因是客戶端的根認(rèn)證機(jī)構(gòu)不能識別該證書錯誤信息：unable to find valid certification path to requested target
解決方案1
一個證書可不可信沸伏，是由TrustManager 決定的，所以我們只需要自定義一個什么都不做的TrustManager即可动分，服務(wù)器出示的所有證書都不做校驗毅糟，一律放行。
public static void main(String[] args) throws Exception {
//協(xié)議傳輸層安全TLS(transport layer secure)
SSLContext sslContext = SSLContext.getInstance("TLS");
//創(chuàng)建信任管理器（TrustManager 負(fù)責(zé)校驗證書是否可信）
TrustManager[] tm = new TrustManager[]{new EmptyX509TrustManager()};
//使用自定義的信任管理器初始化SSL 上下文對象
sslContext.init(null, tm, null);
//設(shè)置全局的SSLSocketFactory 工廠（對所有ssl 鏈接都產(chǎn)生影響）
HttpsURLConnection.setDefaultSSLSocketFactory(sslContext.getSocketFactory());
//URL url = new URL("https://www.baidu.com");
URL url = new URL("https://kyfw.12306.cn/otn/");
HttpsURLConnection conn = (HttpsURLConnection) url.openConnection();
InputStream in = conn.getInputStream();
System.out.println(Util.inputstream2String(in));
}
/**
* 自定義一個什么都不做的信任管理器澜公，所有證書都不做校驗姆另，一律放行
*/
private static class EmptyX509TrustManager implements X509TrustManager{
@Override
public void checkClientTrusted(X509Certificate[] chain, String authType)
throws CertificateException {
}
@Override
public void checkServerTrusted(X509Certificate[] chain, String authType)
throws CertificateException {
}
@Override
public X509Certificate[] getAcceptedIssuers() {
return null;
}
}
解決方案2
12306 服務(wù)器出示的證書是中鐵集團(tuán)SRCA 給他頒發(fā)的，所以SRCA 的證書是能夠識別12306 的證書的玛瘸，所以只需要把SRCA 證書導(dǎo)入系統(tǒng)的KeyStore 里蜕青，之后交給TrustManagerFactory 進(jìn)行初始化，則可把SRCA 添加至根證書認(rèn)證機(jī)構(gòu)糊渊，之后校驗的時候右核，SRCA 對12306 證書校驗時就能通過認(rèn)證。
這種解決方案有兩種使用方式：一是直接使用SRCA.cer 文件渺绒，二是使用改文件的RFC 格式數(shù)據(jù)贺喝，將其寫在代碼里菱鸥。
//12306 證書的RFC 格式（注意要記得手動添加兩個換行符）
private static final String CERT_12306_RFC = "-----BEGIN CERTIFICATE-----\n"+
"MIICmjCCAgOgAwIBAgIIbyZr5/jKH6QwDQYJKoZIhvcNAQEFBQAwRzELMAkGA1UEBhMCQ04xKTAn"+
"BgNVBAoTIFNpbm9yYWlsIENlcnRpZmljYXRpb24gQXV0aG9yaXR5MQ0wCwYDVQQDEwRTUkNBMB4X"+
"DTA5MDUyNTA2NTYwMFoXDTI5MDUyMDA2NTYwMFowRzELMAkGA1UEBhMCQ04xKTAnBgNVBAoTIFNp"+
"bm9yYWlsIENlcnRpZmljYXRpb24gQXV0aG9yaXR5MQ0wCwYDVQQDEwRTUkNBMIGfMA0GCSqGSIb3"+
"DQEBAQUAA4GNADCBiQKBgQDMpbNeb34p0GvLkZ6t72/OOba4mX2K/eZRWFfnuk8e5jKDH+9BgCb2"+
"9bSotqPqTbxXWPxIOz8EjyUO3bfR5pQ8ovNTOlks2rS5BdMhoi4sUjCKi5ELiqtyww/XgY5iFqv6"+
"D4Pw9QvOUcdRVSbPWo1DwMmH75It6pk/rARIFHEjWwIDAQABo4GOMIGLMB8GA1UdIwQYMBaAFHle"+
"tne34lKDQ+3HUYhMY4UsAENYMAwGA1UdEwQFMAMBAf8wLgYDVR0fBCcwJTAjoCGgH4YdaHR0cDov"+
"LzE5Mi4xNjguOS4xNDkvY3JsMS5jcmwwCwYDVR0PBAQDAgH+MB0GA1UdDgQWBBR5XrZ3t+JSg0Pt"+
"x1GITGOFLABDWDANBgkqhkiG9w0BAQUFAAOBgQDGrAm2U/of1LbOnG2bnnQtgcVaBXiVJF8LKPaV"+
"23XQ96HU8xfgSZMJS6U00WHAI7zp0q208RSUft9wDq9ee///VOhzR6Tebg9QfyPSohkBrhXQenvQ"+
"og555S+C3eJAAVeNCTeMS3N/M5hzBRJAoffn3qoYdAO1Q8bTguOi+2849A=="+
"-----END CERTIFICATE-----\n";
public static void main(String[] args) throws Exception {
// 使用傳輸層安全協(xié)議TLS(transport layer secure)
SSLContext sslContext = SSLContext.getInstance("TLS");
//使用SRCA.cer 文件的形式
//FileInputStream certInputStream = new FileInputStream(new File("srca.cer"));
//也可以通過RFC 字符串的形式使用證書
ByteArrayInputStream certInputStream = new
ByteArrayInputStream(CERT_12306_RFC.getBytes());
// 初始化keyStore，用來導(dǎo)入證書
KeyStore keyStore = KeyStore.getInstance(KeyStore.getDefaultType());
//參數(shù)null 表示使用系統(tǒng)默認(rèn)keystore躏鱼，也可使用其他keystore（需事先將srca.cer 證書導(dǎo)入
keystore 里）
keyStore.load(null);
//通過流創(chuàng)建一個證書
Certificate certificate = CertificateFactory.getInstance("X.509")
.generateCertificate(certInputStream);
// 把srca.cer 這個證書導(dǎo)入到KeyStore 里氮采，別名叫做srca
keyStore.setCertificateEntry("srca", certificate);
// 設(shè)置使用keyStore 去進(jìn)行證書校驗
TrustManagerFactory trustManagerFactory = TrustManagerFactory
.getInstance(TrustManagerFactory.getDefaultAlgorithm());
trustManagerFactory.init(keyStore);
//用我們設(shè)定好的TrustManager 去做ssl 通信協(xié)議校驗，即證書校驗
sslContext.init(null, trustManagerFactory.getTrustManagers(), null);
HttpsURLConnection.setDefaultSSLSocketFactory(sslContext
.getSocketFactory());
URL url = new URL("https://kyfw.12306.cn/otn/");
HttpsURLConnection conn = (HttpsURLConnection) url.openConnection();
InputStream in = conn.getInputStream();
System.out.println(Util.inputstream2String(in));
}
Android 里的https 請求：
把scra.cer 文件考到assets 或raw 目錄下染苛，或者直接使用證書的RFC 格式鹊漠，接下來的做法和java工程代碼一樣
//ByteArrayInputStream in = new ByteArrayInputStream("rfc".getBytes());
CertificateFactory cf = CertificateFactory.getInstance("X.509");
InputStream caInput = new BufferedInputStream(new FileInputStream("load-der.crt"));
Certificate ca;
try {
ca = cf.generateCertificate(caInput);
System.out.println("ca=" + ((X509Certificate) ca).getSubjectDN());
} finally {
caInput.close();
}
String keyStoreType = KeyStore.getDefaultType();
KeyStore keyStore = KeyStore.getInstance(keyStoreType);
keyStore.load(null, null);
keyStore.setCertificateEntry("ca", ca);
String tmfAlgorithm = TrustManagerFactory.getDefaultAlgorithm();
TrustManagerFactory tmf = TrustManagerFactory.getInstance(tmfAlgorithm);
tmf.init(keyStore);
SSLContext context = SSLContext.getInstance("TLS");
context.init(null, tmf.getTrustManagers(), null);
URL url = new URL("https://certs.cac.washington.edu/CAtest/");
HttpsURLConnection urlConnection =
(HttpsURLConnection)url.openConnection();
urlConnection.setSSLSocketFactory(context.getSocketFactory());
InputStream in = urlConnection.getInputStream();
copyInputStreamToOutputStream(in, System.out);
雙向證書驗證
CertificateFactory certificateFactory = CertificateFactory.getInstance("X.509");
KeyStore keyStore = KeyStore.getInstance(KeyStore.getDefaultType());
keyStore.load(null);
SSLContext sslContext = SSLContext.getInstance("TLS");
TrustManagerFactory trustManagerFactory = TrustManagerFactory.
getInstance(TrustManagerFactory.getDefaultAlgorithm());
trustManagerFactory.init(keyStore);
//初始化keystore
KeyStore clientKeyStore = KeyStore.getInstance(KeyStore.getDefaultType());
clientKeyStore.load(getAssets().open("client.bks"), "123456".toCharArray());
KeyManagerFactory keyManagerFactory = KeyManagerFactory.getInstance(KeyManagerFactory.getDefaultAlgorithm());
keyManagerFactory.init(clientKeyStore, "123456".toCharArray());
sslContext.init(keyManagerFactory.getKeyManagers(), trustManagerFactory.getTrustManagers(), new SecureRandom());
Nogotofail
網(wǎng)絡(luò)流量安全測試工具，Google的開源項目：https://github.com/google/nogotofail
Android安全加密專題總結(jié)
以上學(xué)習(xí)所有內(nèi)容茶行，對稱加密躯概、非對稱加密、消息摘要畔师、數(shù)字簽名等知識都是為了理解數(shù)字證書工作原理而作為一個預(yù)備知識娶靡。數(shù)字證書是密碼學(xué)里的終極武器，是人類幾千年歷史總結(jié)的智慧的結(jié)晶看锉，只有在明白了數(shù)字證書工作原理后姿锭，才能理解Https 協(xié)議的安全通訊機(jī)制。最終才能在SSL 開發(fā)過程中得心應(yīng)手伯铣。
另外呻此，對稱加密和消息摘要這兩個知識點是可以單獨拿來使用的。
數(shù)字證書使用到了以上學(xué)習(xí)的所有知識
- 對稱加密與非對稱加密結(jié)合使用實現(xiàn)了秘鑰交換懂傀，之后通信雙方使用該秘鑰進(jìn)行對稱加密通信趾诗。
- 消息摘要與非對稱加密實現(xiàn)了數(shù)字簽名，根證書機(jī)構(gòu)對目標(biāo)證書進(jìn)行簽名蹬蚁，在校驗的時候，根證書用公鑰對其進(jìn)行校驗郑兴。若校驗成功犀斋，則說明該證書是受信任的。
- Keytool 工具可以創(chuàng)建證書情连，之后交給根證書機(jī)構(gòu)認(rèn)證后直接使用自簽名證書叽粹，還可以輸出證書的RFC格式信息等。
- 數(shù)字簽名技術(shù)實現(xiàn)了身份認(rèn)證與數(shù)據(jù)完整性保證却舀。
- 加密技術(shù)保證了數(shù)據(jù)的保密性虫几，消息摘要算法保證了數(shù)據(jù)的完整性，對稱加密的高效保證了數(shù)據(jù)處理的可靠性挽拔，數(shù)字簽名技術(shù)保證了操作的不可否認(rèn)性辆脸。
通過以上內(nèi)容的學(xué)習(xí)，我們要能掌握以下知識點：
- 基礎(chǔ)知識：bit 位螃诅、字節(jié)啡氢、字符状囱、字符編碼、進(jìn)制轉(zhuǎn)換倘是、io
- 知道怎樣在實際開發(fā)里怎樣使用對稱加密解決問題
- 知道對稱加密亭枷、非對稱加密、消息摘要搀崭、數(shù)字簽名叨粘、數(shù)字證書是為了解決什么問題而出現(xiàn)的
- 了解SSL 通訊流程
- 實際開發(fā)里怎樣請求Https 的接口
