人妖在线一区,国产日韩欧美一区二区综合在线,国产啪精品视频网站免费,欧美内射深插日本少妇

新聞動(dòng)態(tài)

Openssl實(shí)現(xiàn)雙向認(rèn)證教程（附服務(wù)端客戶端代碼）

發(fā)布日期：2022-02-06 08:19 | 文章來源：腳本之家

一、背景說明

1.1 面臨問題

最近一份產(chǎn)品檢測報(bào)告建議使用基于pki的認(rèn)證方式，由于產(chǎn)品已實(shí)現(xiàn)https，商量之下認(rèn)為其意思是使用雙向認(rèn)證以處理中間人形式攻擊。

《信息安全工程》中接觸過雙向認(rèn)證，但有兩個(gè)問題。

第一個(gè)是當(dāng)時(shí)最終的課程設(shè)計(jì)客戶端是瀏覽器，服務(wù)端是tomcat雙向認(rèn)證只需要對兩者進(jìn)行配置并不需要自己真的實(shí)現(xiàn)代碼。

第二個(gè)是雖然課程也有接近雙向認(rèn)證的實(shí)現(xiàn)代碼，但當(dāng)時(shí)是Java+JCE環(huán)境現(xiàn)在要用C+++OpenSSL環(huán)境，總體意思確實(shí)還是差不多但具體函數(shù)和參數(shù)差別還是不少。

所以眼下有的是：證書生成的思想+雙向認(rèn)證實(shí)現(xiàn)的思想。對讀者而言，即要假定已對證書、SSL/TSL、socket編程等幾個(gè)概念有基本的了解，本文不做詳細(xì)介紹。

基于此本文要解決的問題是：openssl具體如何生成證書+openssl如何實(shí)現(xiàn)雙向認(rèn)證。

雙向認(rèn)證的關(guān)鍵點(diǎn)在以下幾個(gè)函數(shù)（服務(wù)端和客戶端都一樣），其他就不細(xì)說參看代碼注釋：

SSL_CTX_set_verify----配置啟用雙向認(rèn)證

SSL_CTX_load_verify_locations----加載信任的根證書

SSL_CTX_use_certificate_file----加載自己的證書

SSL_CTX_use_PrivateKey_file----加載自己的私鑰

SSL_get_verify_result----真正進(jìn)行驗(yàn)證，一定要調(diào)用這個(gè)函數(shù)不然前面四個(gè)光配置而已并不會(huì)進(jìn)行雙向驗(yàn)證

二、雙向認(rèn)證程序?qū)崿F(xiàn)

2.1 安裝openssl及開發(fā)api

apt-get install libssl-dev

2.2 服務(wù)端代碼

#include <stdio.h>
#include <stdlib.h>
#include <errno.h>
#include <string.h>
#include <sys/types.h>
#include <netinet/in.h>
#include <sys/socket.h>
#include <sys/wait.h>
#include <unistd.h>
#include <arpa/inet.h>
#include <openssl/ssl.h>
#include <openssl/err.h>
#define MAXBUF 1024
void ShowCerts(SSL * ssl)
{
  X509 *cert;
  char *line;
  cert = SSL_get_peer_certificate(ssl);
  // SSL_get_verify_result()是重點(diǎn)，SSL_CTX_set_verify()只是配置啟不啟用并沒有執(zhí)行認(rèn)證，調(diào)用該函數(shù)才會(huì)真證進(jìn)行證書認(rèn)證
  // 如果驗(yàn)證不通過，那么程序拋出異常中止連接
  if(SSL_get_verify_result(ssl) == X509_V_OK){
    printf("證書驗(yàn)證通過\n");
  }
  if (cert != NULL) {
    printf("數(shù)字證書信息:\n");
    line = X509_NAME_oneline(X509_get_subject_name(cert), 0, 0);
    printf("證書: %s\n", line);
    free(line);
    line = X509_NAME_oneline(X509_get_issuer_name(cert), 0, 0);
    printf("頒發(fā)者: %s\n", line);
    free(line);
    X509_free(cert);
  } else
    printf("無證書信息！\n");
}
int main(int argc, char **argv) {
  int sockfd, new_fd;
  socklen_t len;
  struct sockaddr_in my_addr, their_addr;
  unsigned int myport, lisnum;
  char buf[MAXBUF + 1];
  SSL_CTX *ctx;
  if (argv[1])
    myport = atoi(argv[1]);
  else
    myport = 7838;
  if (argv[2])
    lisnum = atoi(argv[2]);
  else
    lisnum = 2;
  /* SSL 庫初始化 */
  SSL_library_init();
  /* 載入所有 SSL 算法 */
  OpenSSL_add_all_algorithms();
  /* 載入所有 SSL 錯(cuò)誤消息 */
  SSL_load_error_strings();
  /* 以 SSL V2 和 V3 標(biāo)準(zhǔn)兼容方式產(chǎn)生一個(gè) SSL_CTX ，即 SSL Content Text */
  ctx = SSL_CTX_new(SSLv23_server_method());
  /* 也可以用 SSLv2_server_method() 或 SSLv3_server_method() 單獨(dú)表示 V2 或 V3標(biāo)準(zhǔn) */
  if (ctx == NULL) {
    ERR_print_errors_fp(stdout);
    exit(1);
  }
  // 雙向驗(yàn)證
  // SSL_VERIFY_PEER---要求對證書進(jìn)行認(rèn)證，沒有證書也會(huì)放行
  // SSL_VERIFY_FAIL_IF_NO_PEER_CERT---要求客戶端需要提供證書，但驗(yàn)證發(fā)現(xiàn)單獨(dú)使用沒有證書也會(huì)放行
  SSL_CTX_set_verify(ctx, SSL_VERIFY_PEER|SSL_VERIFY_FAIL_IF_NO_PEER_CERT, NULL);
  // 設(shè)置信任根證書
  if (SSL_CTX_load_verify_locations(ctx, "ca.crt",NULL)<=0){
    ERR_print_errors_fp(stdout);
    exit(1);
  }
  /* 載入用戶的數(shù)字證書， 此證書用來發(fā)送給客戶端。 證書里包含有公鑰 */
  if (SSL_CTX_use_certificate_file(ctx, argv[3], SSL_FILETYPE_PEM) <= 0) {
    ERR_print_errors_fp(stdout);
    exit(1);
  }
  /* 載入用戶私鑰 */
  if (SSL_CTX_use_PrivateKey_file(ctx, argv[4], SSL_FILETYPE_PEM) <= 0) {
    ERR_print_errors_fp(stdout);
    exit(1);
  }
  /* 檢查用戶私鑰是否正確 */
  if (!SSL_CTX_check_private_key(ctx)) {
    ERR_print_errors_fp(stdout);
    exit(1);
  }
  /* 開啟一個(gè) socket 監(jiān)聽 */
  if ((sockfd = socket(PF_INET, SOCK_STREAM, 0)) == -1) {
    perror("socket");
    exit(1);
  } else
    printf("socket created\n");
  bzero(&my_addr, sizeof(my_addr));
  my_addr.sin_family = PF_INET;
  my_addr.sin_port = htons(myport);
  my_addr.sin_addr.s_addr = INADDR_ANY;
  if (bind(sockfd, (struct sockaddr *) &my_addr, sizeof(struct sockaddr))
      == -1) {
    perror("bind");
    exit(1);
  } else
    printf("binded\n");
  if (listen(sockfd, lisnum) == -1) {
    perror("listen");
    exit(1);
  } else
    printf("begin listen\n");
  while (1) {
    SSL *ssl;
    len = sizeof(struct sockaddr);
    /* 等待客戶端連上來 */
    if ((new_fd = accept(sockfd, (struct sockaddr *) &their_addr, &len))
        == -1) {
      perror("accept");
      exit(errno);
    } else
      printf("server: got connection from %s, port %d, socket %d\n",
          inet_ntoa(their_addr.sin_addr), ntohs(their_addr.sin_port),
          new_fd);
    /* 基于 ctx 產(chǎn)生一個(gè)新的 SSL */
    ssl = SSL_new(ctx);
    /* 將連接用戶的 socket 加入到 SSL */
    SSL_set_fd(ssl, new_fd);
    /* 建立 SSL 連接 */
    if (SSL_accept(ssl) == -1) {
      perror("accept");
      close(new_fd);
      break;
    }
    ShowCerts(ssl);
    /* 開始處理每個(gè)新連接上的數(shù)據(jù)收發(fā) */
    bzero(buf, MAXBUF + 1);
    strcpy(buf, "server->clie

2.3 客戶端代碼

#include <stdio.h>
#include <string.h>
#include <errno.h>
#include <sys/socket.h>
#include <resolv.h>
#include <stdlib.h>
#include <netinet/in.h>
#include <arpa/inet.h>
#include <unistd.h>
#include <openssl/ssl.h>
#include <openssl/err.h>
#define MAXBUF 1024
void ShowCerts(SSL * ssl)
{
  X509 *cert;
  char *line;
  cert = SSL_get_peer_certificate(ssl);
  // SSL_get_verify_result()是重點(diǎn)，SSL_CTX_set_verify()只是配置啟不啟用并沒有執(zhí)行認(rèn)證，調(diào)用該函數(shù)才會(huì)真證進(jìn)行證書認(rèn)證
  // 如果驗(yàn)證不通過，那么程序拋出異常中止連接
  if(SSL_get_verify_result(ssl) == X509_V_OK){
    printf("證書驗(yàn)證通過\n");
  }
  if (cert != NULL) {
    printf("數(shù)字證書信息:\n");
    line = X509_NAME_oneline(X509_get_subject_name(cert), 0, 0);
    printf("證書: %s\n", line);
    free(line);
    line = X509_NAME_oneline(X509_get_issuer_name(cert), 0, 0);
    printf("頒發(fā)者: %s\n", line);
    free(line);
    X509_free(cert);
  } else
    printf("無證書信息！\n");
}
int main(int argc, char **argv)
{
  int sockfd, len;
  struct sockaddr_in dest;
  char buffer[MAXBUF + 1];
  SSL_CTX *ctx;
  SSL *ssl;
  if (argc != 5) {
    printf("參數(shù)格式錯(cuò)誤！正確用法如下：\n\t\t%s IP地址 端口\n\t比如:\t%s 127.0.0.1 80\n此程序用來從某個(gè)"
       "IP 地址的服務(wù)器某個(gè)端口接收最多 MAXBUF 個(gè)字節(jié)的消息",
       argv[0], argv[0]);
    exit(0);
  }
  /* SSL 庫初始化，參看 ssl-server.c 代碼 */
  SSL_library_init();
  OpenSSL_add_all_algorithms();
  SSL_load_error_strings();
  ctx = SSL_CTX_new(SSLv23_client_method());
  if (ctx == NULL) {
    ERR_print_errors_fp(stdout);
    exit(1);
  }
  // 雙向驗(yàn)證
  // SSL_VERIFY_PEER---要求對證書進(jìn)行認(rèn)證，沒有證書也會(huì)放行
  // SSL_VERIFY_FAIL_IF_NO_PEER_CERT---要求客戶端需要提供證書，但驗(yàn)證發(fā)現(xiàn)單獨(dú)使用沒有證書也會(huì)放行
  SSL_CTX_set_verify(ctx, SSL_VERIFY_PEER|SSL_VERIFY_FAIL_IF_NO_PEER_CERT, NULL);
  // 設(shè)置信任根證書
  if (SSL_CTX_load_verify_locations(ctx, "ca.crt",NULL)<=0){
    ERR_print_errors_fp(stdout);
    exit(1);
  }
  /* 載入用戶的數(shù)字證書， 此證書用來發(fā)送給客戶端。 證書里包含有公鑰 */
  if (SSL_CTX_use_certificate_file(ctx, argv[3], SSL_FILETYPE_PEM) <= 0) {
    ERR_print_errors_fp(stdout);
    exit(1);
  }
  /* 載入用戶私鑰 */
  if (SSL_CTX_use_PrivateKey_file(ctx, argv[4], SSL_FILETYPE_PEM) <= 0) {
    ERR_print_errors_fp(stdout);
    exit(1);
  }
  /* 檢查用戶私鑰是否正確 */
  if (!SSL_CTX_check_private_key(ctx)) {
    ERR_print_errors_fp(stdout);
    exit(1);
  }
  /* 創(chuàng)建一個(gè) socket 用于 tcp 通信 */
  if ((sockfd = socket(AF_INET, SOCK_STREAM, 0)) < 0) {
    perror("Socket");
    exit(errno);
  }
  printf("socket created\n");
  /* 初始化服務(wù)器端（對方）的地址和端口信息 */
  bzero(&dest, sizeof(dest));
  dest.sin_family = AF_INET;
  dest.sin_port = htons(atoi(argv[2]));
  if (inet_aton(argv[1], (struct in_addr *) &dest.sin_addr.s_addr) == 0) {
    perror(argv[1]);
    exit(errno);
  }
  printf("address created\n");
  /* 連接服務(wù)器 */
  if (connect(sockfd, (struct sockaddr *) &dest, sizeof(dest)) != 0) {
    perror("Connect ");
    exit(errno);
  }
  printf("server connected\n");
  /* 基于 ctx 產(chǎn)生一個(gè)新的 SSL */
  ssl = SSL_new(ctx);
  SSL_set_fd(ssl, sockfd);
  /* 建立 SSL 連接 */
  if (SSL_connect(ssl) == -1)
    ERR_print_errors_fp(stderr);
  else {
    printf("Connected with %s encryption\n", SSL_get_cipher(ssl));
    ShowCerts(ssl);
  }
  /* 接收對方發(fā)過來的消息，最多接收 MAXBUF 個(gè)字節(jié) */
  bzero(buffer, MAXBUF + 1);
  /* 接收服務(wù)器來的消息 */
  len = SSL_read(ssl, buffer, MAXBUF);
  if (len > 0)
    printf("接收消息成功:'%s'，共%d個(gè)字節(jié)的數(shù)據(jù)\n",
        buffer, len);
  else {
    printf
      ("消息接收失??！錯(cuò)誤代碼是%d，錯(cuò)誤信息是'%s'\n",
       errno, strerror(errno));
    goto finish;
  }
  bzero(buffer, MAXBUF + 1);
  strcpy(buffer, "from client->server");
  /* 發(fā)消息給服務(wù)器 */
  len = SSL_write(ssl, buffer, strlen(buffer));
  if (len < 0)
    printf
      ("消息'%s'發(fā)送失??！錯(cuò)誤代碼是%d，錯(cuò)誤信息是'%s'\n",
       buffer, errno, strerror(errno));
  else
    printf("消息'%s'發(fā)送成功，共發(fā)送了%d個(gè)字節(jié)！\n",
        buffer, len);
 finish:
  /* 關(guān)閉連接 */
  SSL_shutdown(ssl);
  SSL_free(ssl);
  close(sockfd);
  SSL_CTX_free(ctx);
  return 0;
}

2.4 證書生成

注意三點(diǎn)

第一點(diǎn)，注意將其中的私鑰加密密碼（-passout參數(shù)）修改成自己的密碼；下邊都是以帶-passout參數(shù)生成私鑰，如果使用-nodes參數(shù)，則最后一步“將加密的RSA密鑰轉(zhuǎn)成未加密的RSA密鑰”不需要執(zhí)行。

第二點(diǎn)，證書和密鑰給出了直接一步生成和分步生成兩種形式，兩種形式是等價(jià)的，這里使用直接生成形式（分步生成形式被注釋）

第三點(diǎn)，注意將其中的證書信息改成自己的組織信息的。其中證數(shù)各參數(shù)含義如下：

C-----國家（Country Name）

ST----省份（State or Province Name）

L----城市（Locality Name）

O----公司（Organization Name）

OU----部門（Organizational Unit Name）

CN----產(chǎn)品名（Common Name）

emailAddress----郵箱（Email Address）

# CA證書及密鑰生成方法一----直接生成CA密鑰及其自簽名證書
# 如果想以后讀取私鑰文件ca_rsa_private.pem時(shí)不需要輸入密碼，亦即不對私鑰進(jìn)行加密存儲(chǔ)，那么將-passout pass:123456替換成-nodes
openssl req -newkey rsa:2048 -passout pass:123456 -keyout ca_rsa_private.pem -x509 -days 365 -out ca.crt -subj "/C=CN/ST=GD/L=SZ/O=COM/OU=NSP/CN=CA/emailAddress=youremail@qq.com"
# CA證書及密鑰生成方法二----分步生成CA密鑰及其自簽名證書：
# openssl genrsa -aes256 -passout pass:123456 -out ca_rsa_private.pem 2048
# openssl req -new -x509 -days 365 -key ca_rsa_private.pem -passin pass:123456 -out ca.crt -subj "/C=CN/ST=GD/L=SZ/O=COM/OU=NSP/CN=CA/emailAddress=youremail@qq.com"
# 服務(wù)器證書及密鑰生成方法一----直接生成服務(wù)器密鑰及待簽名證書
# 如果想以后讀取私鑰文件server_rsa_private.pem時(shí)不需要輸入密碼，亦即不對私鑰進(jìn)行加密存儲(chǔ)，那么將-passout pass:server替換成-nodes
openssl req -newkey rsa:2048 -passout pass:server -keyout server_rsa_private.pem -out server.csr -subj "/C=CN/ST=GD/L=SZ/O=COM/OU=NSP/CN=SERVER/emailAddress=youremail@qq.com"
# 服務(wù)器證書及密鑰生成方法二----分步生成服務(wù)器密鑰及待簽名證書
# openssl genrsa -aes256 -passout pass:server -out server_rsa_private.pem 2048
# openssl req -new -key server_rsa_private.pem -passin pass:server -out server.csr -subj "/C=CN/ST=GD/L=SZ/O=COM/OU=NSP/CN=SERVER/emailAddress=youremail@qq.com"
# 使用CA證書及密鑰對服務(wù)器證書進(jìn)行簽名：
openssl x509 -req -days 365 -in server.csr -CA ca.crt -CAkey ca_rsa_private.pem -passin pass:123456 -CAcreateserial -out server.crt
# 將加密的RSA密鑰轉(zhuǎn)成未加密的RSA密鑰，避免每次讀取都要求輸入解密密碼
# 密碼就是生成私鑰文件時(shí)設(shè)置的passout、讀取私鑰文件時(shí)要輸入的passin，比如這里要輸入“server”
openssl rsa -in server_rsa_private.pem -out server_rsa_private.pem.unsecure
# 客戶端證書及密鑰生成方法一----直接生成客戶端密鑰及待簽名證書
# 如果想以后讀取私鑰文件client_rsa_private.pem時(shí)不需要輸入密碼，亦即不對私鑰進(jìn)行加密存儲(chǔ)，那么將-passout pass:client替換成-nodes
openssl req -newkey rsa:2048 -passout pass:client -keyout client_rsa_private.pem -out client.csr -subj "/C=CN/ST=GD/L=SZ/O=COM/OU=NSP/CN=CLIENT/emailAddress=youremail@qq.com"
# 客戶端證書及密鑰生成方法二----分步生成客戶端密鑰及待簽名證書：
# openssl genrsa -aes256 -passout pass:client -out client_rsa_private.pem 2048
# openssl req -new -key client_rsa_private.pem -passin pass:client -out client.csr -subj "/C=CN/ST=GD/L=SZ/O=COM/OU=NSP/CN=CLIENT/emailAddress=youremail@qq.com"
# 使用CA證書及密鑰對客戶端證書進(jìn)行簽名：
openssl x509 -req -days 365 -in client.csr -CA ca.crt -CAkey ca_rsa_private.pem -passin pass:123456 -CAcreateserial -out client.crt
# 將加密的RSA密鑰轉(zhuǎn)成未加密的RSA密鑰，避免每次讀取都要求輸入解密密碼
# 密碼就是生成私鑰文件時(shí)設(shè)置的passout、讀取私鑰文件時(shí)要輸入的passin，比如這里要輸入“client”
openssl rsa -in client_rsa_private.pem -out client_rsa_private.pem.unsecure

2.5 開發(fā)環(huán)境配置

操作系統(tǒng)----kali-roaling。為了使用現(xiàn)在虛擬機(jī)而已，使用ubuntu、centos等等應(yīng)該都是沒差別的。

IDE----eclipse。直接在終端中編譯不通過沒深究，放eclipse編譯沒問題就直接使用eclipse。

2.5.1 在同一活動(dòng)目錄下建了兩個(gè)project

myclient1----建src文件夾放客戶端代碼

myserver1----建src文件夾放服務(wù)端代碼

（其他目錄要么是自動(dòng)生成的，要么是編譯后自動(dòng)生成的，不用管；如果項(xiàng)目有報(bào)錯(cuò)試試多重啟幾次eclipse甚操作系統(tǒng)）

2.5.2 指定ssl和crypto

在項(xiàng)目文件夾上右鍵----Properties----指定ssl庫和crypto庫目錄不然編譯找不到ssl。兩個(gè)project都要配置

2.5.3 編譯

使用Ctrl+B快捷鍵進(jìn)行編譯，eclipse會(huì)編譯所有project

2.5.4 證書復(fù)制

將前邊生成的ca證書（ca.crt）、客戶端證書（client.crt）、客戶端未加密私鑰文件（）復(fù)制到myclient1項(xiàng)目的Debug目錄下

將前邊生成的ca證書、服務(wù)端證書、服務(wù)端端未加密私鑰文件復(fù)制到myclient1項(xiàng)目的Debug目錄下

2.5.5 運(yùn)行程序

先運(yùn)行服務(wù)端后運(yùn)行客戶端

./myserver1 7838 1 server.crt server_rsa_private.pem.unsecure
./myclient1 127.0.0.1 7838 client.crt client_rsa_private.pem.unsecure

運(yùn)行結(jié)果如下，服務(wù)端：

客戶端：

以上就是本文的全部內(nèi)容，希望對大家的學(xué)習(xí)有所幫助，也希望大家多多支持本站。

美國快速服務(wù)器

版權(quán)聲明：本站文章來源標(biāo)注為YINGSOO的內(nèi)容版權(quán)均為本站所有，歡迎引用、轉(zhuǎn)載，請保持原文完整并注明來源及原文鏈接。禁止復(fù)制或仿造本網(wǎng)站，禁止在非www.sddonglingsh.com所屬的服務(wù)器上建立鏡像，否則將依法追究法律責(zé)任。本站部分內(nèi)容來源于網(wǎng)友推薦、互聯(lián)網(wǎng)收集整理而來，僅供學(xué)習(xí)參考，不代表本站立場，如有內(nèi)容涉嫌侵權(quán)，請聯(lián)系alex-e#qq.com處理。

實(shí)時(shí)開通

自選配置、實(shí)時(shí)開通

免備案

全球線路精選！

全天候客戶服務(wù)

7x24全年不間斷在線

專屬顧問服務(wù)

1對1客戶咨詢顧問

在線
客服

在線客服：7*24小時(shí)在線

客服
熱線

400-630-3752
7*24小時(shí)客服服務(wù)熱線

關(guān)注
微信

關(guān)注官方微信
頂部