web-dev-qa-db-ja.com

双方向SSLハンドスケート（クライアントおよびサーバー証明書）を使用してNettyをセットアップする

私は現在、クライアントとサーバーの両方が証明書を提示して検証する双方向SSLハンドシェイクを使用してNettyをセットアップしようとしています。

これはSslHandlerに実装されていないようです。誰かこれをしますか？ SslHandler.handshake操作で実行され、javax.net.ssl.SSLEngineに委任されると思いますか？

ヒント/ヒント/既存の実装はありますか？

ありがとう！

答え（stackoverflowでは通常の方法で投稿できません）SslHandlerを設定する前にSSLEngineオブジェクトにneedClientAuthフラグを設定すると、問題が解決することがわかりました。

javasslnettyhandshake
14
MeowCode

これは、nettyプロジェクトのHttpSnoopサーバーの例に基づいたソリューションです。

クライアント側のパイプラインを設定するときは、SSLエンジンを次のように設定する必要があります。

public ChannelPipeline getPipeline() throws Exception {
    // Create a default pipeline implementation.
    ChannelPipeline pipeline = pipeline();

    // Uncomment the following line if you want HTTPS
    SSLEngine engine = SecureChatSslContextFactory.getServerContext().createSSLEngine();
    engine.setUseClientMode(false);
    engine.setNeedClientAuth(true);
    pipeline.addLast("ssl", new SslHandler(engine));

    pipeline.addLast("decoder", new HttpRequestDecoder());
    pipeline.addLast("logger", new RequestAuditLogger());
    // Uncomment the following line if you don't want to handle HttpChunks.
    pipeline.addLast("aggregator", new HttpChunkAggregator(1048576));
    pipeline.addLast("outputLogger", new ResponseAuditLogger());
    pipeline.addLast("encoder", new HttpResponseEncoder());
    // Remove the following line if you don't want automatic content compression.
    pipeline.addLast("deflater", new HttpContentCompressor());
    pipeline.addLast("handler", new HttpSnoopServerHandler());
    return pipeline;
}
}

次に、SSLContextを次のように変更して、キーストア（SecureChatSslContextFactory）に加えてトラストストアを設定する必要があります。

public final class SecureChatSslContextFactory {


private static Logger logger = LoggerFactory.getLogger(SecureChatSslContextFactory.class);

private static final String PROTOCOL = "TLS";
private static final SSLContext SERVER_CONTEXT;
private static final SSLContext CLIENT_CONTEXT;

static {

    SSLContext serverContext = null;
    SSLContext clientContext = null;

        // get keystore and trustore locations and passwords
    String keyStoreLocation = System.getProperty("javax.net.ssl.keyStore");
    String keyStorePassword = System.getProperty("javax.net.ssl.keyStorePassword");
    String trustStoreLocation = System.getProperty("javax.net.ssl.trustStore");
    String trustStorePassword = System.getProperty("javax.net.ssl.trustStorePassword");
    try {

        KeyStore ks = KeyStore.getInstance("JKS");
        ks.load(KeyStoreStreamManager.asInputStream(keyStoreLocation),
                keyStorePassword.toCharArray());

        // Set up key manager factory to use our key store
        KeyManagerFactory kmf = KeyManagerFactory.getInstance(KeyManagerFactory.getDefaultAlgorithm());
        kmf.init(ks, keyStorePassword.toCharArray());

          // truststore
        KeyStore ts = KeyStore.getInstance("JKS");
        ts.load(KeyStoreStreamManager.asInputStream(trustStoreLocation),
                trustStorePassword.toCharArray());

        // set up trust manager factory to use our trust store
        TrustManagerFactory tmf = TrustManagerFactory.getInstance(TrustManagerFactory.getDefaultAlgorithm());
        tmf.init(ts);

        // Initialize the SSLContext to work with our key managers.
        serverContext = SSLContext.getInstance(PROTOCOL);
        serverContext.init(kmf.getKeyManagers(), tmf.getTrustManagers(), null);

    } catch (Exception e) {
        throw new Error(
                "Failed to initialize the server-side SSLContext", e);
    }

    try {
        clientContext = SSLContext.getInstance(PROTOCOL);
        clientContext.init(null, SecureChatTrustManagerFactory.getTrustManagers(), null);
    } catch (Exception e) {
        throw new Error(
                "Failed to initialize the client-side SSLContext", e);
    }

    SERVER_CONTEXT = serverContext;
    CLIENT_CONTEXT = clientContext;
}

public static SSLContext getServerContext() {
    return SERVER_CONTEXT;
}

public static SSLContext getClientContext() {
    return CLIENT_CONTEXT;
}

private SecureChatSslContextFactory() {
    // Unused
}
}
11
MeowCode

SSLEngineを設定する代わりに、nettys SslContextを使用して新しいSslHandlerを作成します。基本的に、次のようにSslContextを渡すことで、新しいKeyManagerFactoryを作成できます。

SslContext sslContext = SslContextBuilder.forServer（keyManagerFactory）.build（）;

次に、created SslContextを使用して、ChannelPipelineのハンドラーを取得します。

ChannelPipeline.addLast（ "ssl"、sslContext.newHandler（socketChannel.alloc（）））;

6
Isuru

相互認証が SslContext でサポートされるようになりました（現在はJDKプロバイダーのみですが、OpenSSLがサポートを提供する予定です）。 newClientContext および newServerContext を参照してください。どちらも、TrustManagerFactoryとKeyManagerFactoryの取得をサポートするようになりました。これらの静的ファクトリメソッドは、証明書、キー、および証明書チェーンファイルを直接取得して、TrustManagerFactoryおよびKeyManagerFactoryを構築することもサポートしています。

クライアント認証を要求する方法の例については、 JdkSslEngineTest を参照してください（JDKプロバイダーの場合）。

4
Scott Mitchell