在mina中实现TSL/SSL双向认证连接（１）

本文需要读者对mina和SSl原理有一定的了解，所以本文中对mina和SSL的原理，不做详细的介绍。

TSL/SSL双向认证连接：Server端和Client端通信，需要进行授权和身份的验证，即Client只能接受Server的消息，Server只能接受Client的消息。这样就可以在客户机和服务器之间通过TCP/IP协议安全地传输数据。

在mina中实现TSL/SSL双向认证连接，本人目前所知有三种方式：
1.Server端和Client端各自拥有自签名的私有密钥证书，重写的 javax.net.ssl.X509TrustManager接口中的三个方法实现Server端和Client端信认证书。
2.Server端和Client端各自拥有自签名的私有密钥证书，并且互相交换公钥，通过对方公钥互相信认对方证书。
3.Server端和Client端各自拥有可信认的第三方认证机构(ＣＡ)签名私有密钥证书,通过ＣＡ互相信认对方证书。
以上三种方式，实现复杂度从低到高，灵活度安全性也从低到高。本系列文章将将会从简到难分别介绍三种方式的TSL/SSL双向认证连接。

下面我们介绍第一种实现方式：Server端和Client端各自拥有自签名的私有密钥证书，重写的 javax.net.ssl.X509TrustManager接口中的三个方法实现Server端和Client端信认证书。

首先，创建Server端和Client端各自的私有密钥证书，在这里使用keytool，关于keytool的使用在这里不作详细介绍，请参考它处。

1.创建Server端KeyStore文件serverKeys.jks，包含一个用于服务器的证书 ：

引用

keytool -genkey -alias server -keysize 1024 -validity 3650 -keyalg RSA -dname "CN=sundoctor.com, OU=Developer,O=Techstar, L=Beijing, S=Beijing, C=CH" -keypass 123456 -storepass 123456 -keystore serverKeys.jks

2.创建Client端KeyStore文件clientKeys.jks，分别包含用于虚构的通信者 Alice 和 Bob 的证书 ：

引用

keytool -genkey -alias alice -keysize 1024 -validity 3650 -keyalg RSA -dname "CN=Aclie, OU=Developer,O=Techstar, L=Beijing, S=Beijing, C=CH" -keypass 123456 -storepass 123456 -keystore clientKeys.jks

keytool -genkey -alias bob -keysize 1024 -validity 3650 -keyalg RSA -dname "CN=Bob, OU=Developer,O=Techstar, L=Beijing, S=Beijing, C=CH" -keypass 123456 -storepass 123456 -keystore clientKeys.jks

其次重写的 javax.net.ssl.X509TrustManager接口中的三个方法实现Server端和Client端信认证书，代码中BogusTrustManagerFactory类有关X509TrustManager实现的片断，具体参考源码

static final X509TrustManager X509 = new X509TrustManager() {

    /**
     * 确认和信任将其用于基于身份验证类型的客户端 SSL 身份验证
     */
    public void checkClientTrusted(X509Certificate[] x509Certificates, String s) throws CertificateException {

        if (x509Certificates == null || x509Certificates.length == 0)
            throw new IllegalArgumentException("null or zero-length certificate chain");
        if (s == null || s.length() == 0)
            throw new IllegalArgumentException("null or zero-length authentication type");

        boolean br = false;
        Principal principal = null;
        for (X509Certificate x509Certificate : x509Certificates) {
            principal = x509Certificate.getSubjectDN();
            if (principal != null && (StringUtils.contains(principal.getName(), "Alice") || StringUtils.contains(principal.getName(), "Bob"))) {
                br = true;
                return;
            }
        }

        if (!br) {
            throw new CertificateException("连接认证失败！");
        }
    }

    /**
     * 确认和信任将其用于基于身份验证类型的服务器 SSL 身份验证
     */
    public void checkServerTrusted(X509Certificate[] x509Certificates, String s) throws CertificateException {
        if (x509Certificates == null || x509Certificates.length == 0)
            throw new IllegalArgumentException("null or zero-length certificate chain");
        if (s == null || s.length() == 0)
            throw new IllegalArgumentException("null or zero-length authentication type");

        boolean br = false;
        Principal principal = null;
        for (X509Certificate x509Certificate : x509Certificates) {
            principal = x509Certificate.getSubjectDN();
            if (principal != null && (StringUtils.contains(principal.getName(), "sundoctor.com"))) {
                br = true;
                return;
            }
        }

        if (!br) {
            throw new CertificateException("连接认证失败！");
        }
    }

    public X509Certificate[] getAcceptedIssuers() {
        return new X509Certificate[0];
    }
};

在这里checkClientTrusted(X509Certificate[] x509Certificates, String s)验证客户端证书，在这里只是简单的验证一下客户端证书CN是否为Alice或Bob, checkServerTrusted(X509Certificate[] x509Certificates, String s)验证服务端证书，这里只是简单的验证一下服务端的CN是否为sundoctor.com。更复杂的验证，大家可以自行实现。

最后是创建服务端和客户端SSLContext工厂类，分别初始化服务端和客户端的SSLContext

// Initialize the SSLContext to work with our key managers.
SSLContext sslContext = SSLContext.getInstance(PROTOCOL);
sslContext.init(getKeyManagers(serverKeys, serverKeysPassword), BogusTrustManagerFactory.X509_MANAGERS, null);

初始化SSLContext需要KeyManagers和TrustManager，TrustManager参见BogusTrustManagerFactory，使用serverKeys.jks、clientKeys.jks分别构建服务端和客户端KeyManagers

private static KeyManager[] getKeyManagers(String keysfile, String password) throws GeneralSecurityException,
        IOException {

    // First, get the default KeyManagerFactory.
    KeyManagerFactory kmf = KeyManagerFactory.getInstance(KEY_MANAGER_FACTORY_ALGORITHM);

    // Next, set up the TrustStore to use. We need to load the file into
    // a KeyStore instance.
    KeyStore ks = KeyStore.getInstance("JKS");
    InputStream in = BogusSslContextFactory.class.getResourceAsStream(keysfile);
    ks.load(in, password.toCharArray());
    in.close();

    // Now we initialise the KeyManagerFactory with this KeyStore
    kmf.init(ks, password.toCharArray());

    // And now get the TrustManagers
    return kmf.getKeyManagers();
}

服务端（TLSServer）和客户端（TLSClient）测试代码比较简单，具体请参考源码，在这里有一点需要注意的就是在服务端添加加密过滤器 SslFilter时必须设置为:sslFilter.setNeedClientAuth(true)，需要验证客户端证书。