openssl实现双向认证教程(服务端代码+客户端代码+证书生成)
一、背景说明
1.1 面临问题
最近一份产品检测报告建议使用基于pki的认证方式,由于产品已实现https,商量之下认为其意思是使用双向认证以处理中间人形式攻击。
《信息安全工程》中接触过双向认证,但有两个问题。
第一个是当时最终的课程设计客户端是浏览器,服务端是tomcat双向认证只需要对两者进行配置并不需要自己真的实现代码。
第二个是虽然课程也有接近双向认证的实现代码,但当时是Java+JCE环境现在要用C+++OpenSSL环境,总体意思确实还是差不多但具体函数和参数差别还是不少。
所以眼下有的是:证书生成的思想+双向认证实现的思想。对读者而言,即要假定已对证书、SSL/TSL、socket编程等几个概念有基本的了解,本文不做详细介绍。
基于此本文要解决的问题是:openssl具体如何生成证书+openssl如何实现双向认证。
1.2 解决办法
1.2.1 openssl具体生成证书解决办法
参考https://www.geek-share.com/detail/2721367788.html再加其他一些文章总结而成
1.2.2 openssl实现双向认证解决办法
使用https://www.geek-share.com/detail/2632200879.html代码实SSL,在其基础上实现双向认证。
双向认证的关键点在以下几个函数(服务端和客户端都一样),其他就不细说参看代码注释:
SSL_CTX_set_verify----配置启用双向认证
SSL_CTX_load_verify_locations----加载信任的根证书
SSL_CTX_use_certificate_file----加载自己的证书
SSL_CTX_use_PrivateKey_file----加载自己的私钥
SSL_get_verify_result----真正进行验证,一定要调用这个函数不然前面四个光配置而已并不会进行双向验证
二、双向认证程序实现
2.1 安装openssl及开发api
apt-get install libssl-dev
2.2 服务端代码
#include <stdio.h> #include <string.h> #include <errno.h> #include <sys/socket.h> #include <resolv.h> #include <stdlib.h> #include <netinet/in.h> #include <arpa/inet.h> #include <unistd.h> #include <openssl/ssl.h> #include <openssl/err.h> #define MAXBUF 1024 void ShowCerts(SSL * ssl) { X509 *cert; char *line; cert = SSL_get_peer_certificate(ssl); // SSL_get_verify_result()是重点,SSL_CTX_set_verify()只是配置启不启用并没有执行认证,调用该函数才会真证进行证书认证 // 如果验证不通过,那么程序抛出异常中止连接 if(SSL_get_verify_result(ssl) == X509_V_OK){ printf("证书验证通过\n"); } if (cert != NULL) { printf("数字证书信息:\n"); line = X509_NAME_oneline(X509_get_subject_name(cert), 0, 0); printf("证书: %s\n", line); free(line); line = X509_NAME_oneline(X509_get_issuer_name(cert), 0, 0); printf("颁发者: %s\n", line); free(line); X509_free(cert); } else printf("无证书信息!\n"); } int main(int argc, char **argv) { int sockfd, len; struct sockaddr_in dest; char buffer[MAXBUF + 1]; SSL_CTX *ctx; SSL *ssl; if (argc != 5) { printf("参数格式错误!正确用法如下:\n\t\t%s IP地址 端口\n\t比如:\t%s 127.0.0.1 80\n此程序用来从某个" "IP 地址的服务器某个端口接收最多 MAXBUF 个字节的消息", argv[0], argv[0]); exit(0); } /* SSL 库初始化,参看 ssl-server.c 代码 */ SSL_library_init(); OpenSSL_add_all_algorithms(); SSL_load_error_strings(); ctx = SSL_CTX_new(SSLv23_client_method()); if (ctx == NULL) { ERR_print_errors_fp(stdout); exit(1); } // 双向验证 // SSL_VERIFY_PEER---要求对证书进行认证,没有证书也会放行 // SSL_VERIFY_FAIL_IF_NO_PEER_CERT---要求客户端需要提供证书,但验证发现单独使用没有证书也会放行 SSL_CTX_set_verify(ctx, SSL_VERIFY_PEER|SSL_VERIFY_FAIL_IF_NO_PEER_CERT, NULL); // 设置信任根证书 if (SSL_CTX_load_verify_locations(ctx, "ca.crt",NULL)<=0){ ERR_print_errors_fp(stdout); exit(1); } /* 载入用户的数字证书, 此证书用来发送给客户端。 证书里包含有公钥 */ if (SSL_CTX_use_certificate_file(ctx, argv[3], SSL_FILETYPE_PEM) <= 0) { ERR_print_errors_fp(stdout); exit(1); } /* 载入用户私钥 */ if (SSL_CTX_use_PrivateKey_file(ctx, argv[4], SSL_FILETYPE_PEM) <= 0) { ERR_print_errors_fp(stdout); exit(1); } /* 检查用户私钥是否正确 */ if (!SSL_CTX_check_private_key(ctx)) { ERR_print_errors_fp(stdout); exit(1); } /* 创建一个 socket 用于 tcp 通信 */ if ((sockfd = socket(AF_INET, SOCK_STREAM, 0)) < 0) { perror("Socket"); exit(errno); } printf("socket created\n"); /* 初始化服务器端(对方)的地址和端口信息 */ bzero(&dest, sizeof(dest)); dest.sin_family = AF_INET; dest.sin_port = htons(atoi(argv[2])); if (inet_aton(argv[1], (struct in_addr *) &dest.sin_addr.s_addr) == 0) { perror(argv[1]); exit(errno); } printf("address created\n"); /* 连接服务器 */ if (connect(sockfd, (struct sockaddr *) &dest, sizeof(dest)) != 0) { perror("Connect "); exit(errno); } printf("server connected\n"); /* 基于 ctx 产生一个新的 SSL */ ssl = SSL_new(ctx); SSL_set_fd(ssl, sockfd); /* 建立 SSL 连接 */ if (SSL_connect(ssl) == -1) ERR_print_errors_fp(stderr); else { printf("Connected with %s encryption\n", SSL_get_cipher(ssl)); ShowCerts(ssl); } /* 接收对方发过来的消息,最多接收 MAXBUF 个字节 */ bzero(buffer, MAXBUF + 1); /* 接收服务器来的消息 */ len = SSL_read(ssl, buffer, MAXBUF); if (len > 0) printf("接收消息成功:'%s',共%d个字节的数据\n", buffer, len); else { printf ("消息接收失败!错误代码是%d,错误信息是'%s'\n", errno, strerror(errno)); goto finish; } bzero(buffer, MAXBUF + 1); strcpy(buffer, "from client->server"); /* 发消息给服务器 */ len = SSL_write(ssl, buffer, strlen(buffer)); if (len < 0) printf ("消息'%s'发送失败!错误代码是%d,错误信息是'%s'\n", buffer, errno, strerror(errno)); else printf("消息'%s'发送成功,共发送了%d个字节!\n", buffer, len); finish: /* 关闭连接 */ SSL_shutdown(ssl); SSL_free(ssl); close(sockfd); SSL_CTX_free(ctx); return 0; }View Code
2.4 证书生成
注意三点
第一点,注意将其中的私钥加密密码(-passout参数)修改成自己的密码;下边都是以带-passout参数生成私钥,如果使用-nodes参数,则最后一步“将加密的RSA密钥转成未加密的RSA密钥”不需要执行。
第二点,证书和密钥给出了直接一步生成和分步生成两种形式,两种形式是等价的,这里使用直接生成形式(分步生成形式被注释)
第三点,注意将其中的证书信息改成自己的组织信息的。其中证数各参数含义如下:
C-----国家(Country Name)
ST----省份(State or Province Name)
L----城市(Locality Name)
O----公司(Organization Name)
OU----部门(Organizational Unit Name)
CN----产品名(Common Name)
emailAddress----邮箱(Email Address)
# CA证书及密钥生成方法一----直接生成CA密钥及其自签名证书 # 如果想以后读取私钥文件ca_rsa_private.pem时不需要输入密码,亦即不对私钥进行加密存储,那么将-passout pass:123456替换成-nodes openssl req -newkey rsa:2048 -passout pass:123456 -keyout ca_rsa_private.pem -x509 -days 365 -out ca.crt -subj "/C=CN/ST=GD/L=SZ/O=COM/OU=NSP/CN=CA/emailAddress=youremail@qq.com" # CA证书及密钥生成方法二----分步生成CA密钥及其自签名证书: # openssl genrsa -aes256 -passout pass:123456 -out ca_rsa_private.pem 2048 # openssl req -new -x509 -days 365 -key ca_rsa_private.pem -passin pass:123456 -out ca.crt -subj "/C=CN/ST=GD/L=SZ/O=COM/OU=NSP/CN=CA/emailAddress=youremail@qq.com" # 服务器证书及密钥生成方法一----直接生成服务器密钥及待签名证书 # 如果想以后读取私钥文件server_rsa_private.pem时不需要输入密码,亦即不对私钥进行加密存储,那么将-passout pass:server替换成-nodes openssl req -newkey rsa:2048 -passout pass:server -keyout server_rsa_private.pem -out server.csr -subj "/C=CN/ST=GD/L=SZ/O=COM/OU=NSP/CN=SERVER/emailAddress=youremail@qq.com" # 服务器证书及密钥生成方法二----分步生成服务器密钥及待签名证书 # openssl genrsa -aes256 -passout pass:server -out server_rsa_private.pem 2048 # openssl req -new -key server_rsa_private.pem -passin pass:server -out server.csr -subj "/C=CN/ST=GD/L=SZ/O=COM/OU=NSP/CN=SERVER/emailAddress=youremail@qq.com" # 使用CA证书及密钥对服务器证书进行签名: openssl x509 -req -days 365 -in server.csr -CA ca.crt -CAkey ca_rsa_private.pem -passin pass:123456 -CAcreateserial -out server.crt # 将加密的RSA密钥转成未加密的RSA密钥,避免每次读取都要求输入解密密码 # 密码就是生成私钥文件时设置的passout、读取私钥文件时要输入的passin,比如这里要输入“server” openssl rsa -in server_rsa_private.pem -out server_rsa_private.pem.unsecure # 客户端证书及密钥生成方法一----直接生成客户端密钥及待签名证书 # 如果想以后读取私钥文件client_rsa_private.pem时不需要输入密码,亦即不对私钥进行加密存储,那么将-passout pass:client替换成-nodes openssl req -newkey rsa:2048 -passout pass:client -keyout client_rsa_private.pem -out client.csr -subj "/C=CN/ST=GD/L=SZ/O=COM/OU=NSP/CN=CLIENT/emailAddress=youremail@qq.com" # 客户端证书及密钥生成方法二----分步生成客户端密钥及待签名证书: # openssl genrsa -aes256 -passout pass:client -out client_rsa_private.pem 2048 # openssl req -new -key client_rsa_private.pem -passin pass:client -out client.csr -subj "/C=CN/ST=GD/L=SZ/O=COM/OU=NSP/CN=CLIENT/emailAddress=youremail@qq.com" # 使用CA证书及密钥对客户端证书进行签名: openssl x509 -req -days 365 -in client.csr -CA ca.crt -CAkey ca_rsa_private.pem -passin pass:123456 -CAcreateserial -out client.crt # 将加密的RSA密钥转成未加密的RSA密钥,避免每次读取都要求输入解密密码 # 密码就是生成私钥文件时设置的passout、读取私钥文件时要输入的passin,比如这里要输入“client” openssl rsa -in client_rsa_private.pem -out client_rsa_private.pem.unsecure
2.5 开发环境配置
操作系统----kali-roaling。为了使用现在虚拟机而已,使用ubuntu、centos等等应该都是没差别的。
IDE----eclipse。直接在终端中编译不通过没深究,放eclipse编译没问题就直接使用eclipse。
2.5.1 在同一活动目录下建了两个project
myclient1----建src文件夹放客户端代码
myserver1----建src文件夹放服务端代码
(其他目录要么是自动生成的,要么是编译后自动生成的,不用管;如果项目有报错试试多重启几次eclipse甚操作系统)
2.5.2 指定ssl和crypto
在项目文件夹上右键----Properties----指定ssl库和crypto库目录不然编译找不到ssl。两个project都要配置
2.5.3 编译
使用Ctrl+B快捷键进行编译,eclipse会编译所有project
2.5.4 证书复制
将前边生成的ca证书(ca.crt)、客户端证书(client.crt)、客户端未加密私钥文件()复制到myclient1项目的Debug目录下
将前边生成的ca证书、服务端证书、服务端端未加密私钥文件复制到myclient1项目的Debug目录下
2.5.5 运行程序
先运行服务端后运行客户端
./myserver1 7838 1 server.crt server_rsa_private.pem.unsecure ./myclient1 127.0.0.1 7838 client.crt client_rsa_private.pem.unsecure
运行结果如下,服务端:
客户端:
参考:
https://www.geek-share.com/detail/2721367788.html
https://www.geek-share.com/detail/2632200879.html
https://www.geek-share.com/detail/2625061403.html
https://www.openssl.org/docs/man1.1.1/man3/
- OpenSSL实现服务端客户端双向认证
- java代码实现证书生成客户端证书 实现ssl双向认证
- 关于使用由CA机构(EJBCA)颁发的证书实现SLLSocket双向认证服务端报null cert chain的解决方案
- Openssl CA证书生成以及双向认证,及windows系统证书批量导出,android cer转bks
- ssl双向认证-openssl生成证书
- 利用keytool/Openssl来生成服务端和客户端证书,根证书。
- java https tomcat 单双认证(含证书生成和代码实现) 原创转载请备注,谢谢O(∩_∩)O
- SSLSocket实现服务端和客户端双向认证的例子
- keytool生成keystore、truststore、证书以及SSL单向认证在服务端tomcat和客户端的配置
- keytool生成keystore、truststore、证书以及SSL单向认证在服务端tomcat和客户端的配置
- Linux下OpenSSL客户端中使用req命令来生成证书的教程
- SSL CA客户端证书双向认证IIS配置及代码验证
- 使用keytool和openssl工具生成SSL双向认证密钥对和证书库
- 原来win+apache实现ssl的证书认证如此简单 +使用openssl来生成CA证书、申请证书、颁发证书以及撤销证书的过程
- OpenSS与服务端进行双向认证的客户端代码
- SSLSocket实现服务端和客户端双向认证的例子
- Android实现https单双向认证及自签名证书生成方法
- 利用keytool/Openssl来生成服务端和客户端证书,根证书。
- 在客户端程序中使用OpenSSL来实现HTTPS在证书认证上的一些分析
- Openssl CA证书生成以及双向认证,及windows系统证书批量导出,android cer转bks