溫馨提示×
您好，登錄后才能下訂單哦！
點擊 登錄注冊 即表示同意《億速云用戶服務條款》
您好，登錄后才能下訂單哦！
這篇文章主要講解了Openssl如何實現(xiàn)雙向認證，內(nèi)容清晰明了，對此有興趣的小伙伴可以學習一下，相信大家閱讀完之后會有幫助。
一、背景說明
1.1 面臨問題
最近一份產(chǎn)品檢測報告建議使用基于pki的認證方式，由于產(chǎn)品已實現(xiàn)https，商量之下認為其意思是使用雙向認證以處理中間人形式攻擊。
《信息安全工程》中接觸過雙向認證，但有兩個問題。
第一個是當時最終的課程設計客戶端是瀏覽器，服務端是tomcat雙向認證只需要對兩者進行配置并不需要自己真的實現(xiàn)代碼。
第二個是雖然課程也有接近雙向認證的實現(xiàn)代碼，但當時是Java+JCE環(huán)境現(xiàn)在要用C+++OpenSSL環(huán)境，總體意思確實還是差不多但具體函數(shù)和參數(shù)差別還是不少。
所以眼下有的是：證書生成的思想+雙向認證實現(xiàn)的思想。對讀者而言，即要假定已對證書、SSL/TSL、socket編程等幾個概念有基本的了解，本文不做詳細介紹。
基于此本文要解決的問題是：openssl具體如何生成證書+openssl如何實現(xiàn)雙向認證。
雙向認證的關鍵點在以下幾個函數(shù)（服務端和客戶端都一樣），其他就不細說參看代碼注釋：
SSL_CTX_set_verify----配置啟用雙向認證
SSL_CTX_load_verify_locations----加載信任的根證書
SSL_CTX_use_certificate_file----加載自己的證書
SSL_CTX_use_PrivateKey_file----加載自己的私鑰
SSL_get_verify_result----真正進行驗證，一定要調(diào)用這個函數(shù)不然前面四個光配置而已并不會進行雙向驗證
二、雙向認證程序?qū)崿F(xiàn)
2.1 安裝openssl及開發(fā)api
apt-get install libssl-dev
2.2 服務端代碼
#include <stdio.h>
#include <stdlib.h>
#include <errno.h>
#include <string.h>
#include <sys/types.h>
#include <netinet/in.h>
#include <sys/socket.h>
#include <sys/wait.h>
#include <unistd.h>
#include <arpa/inet.h>
#include <openssl/ssl.h>
#include <openssl/err.h>
#define MAXBUF 1024
void ShowCerts(SSL * ssl)
{
X509 *cert;
char *line;
cert = SSL_get_peer_certificate(ssl);
// SSL_get_verify_result()是重點，SSL_CTX_set_verify()只是配置啟不啟用并沒有執(zhí)行認證，調(diào)用該函數(shù)才會真證進行證書認證
// 如果驗證不通過，那么程序拋出異常中止連接
if(SSL_get_verify_result(ssl) == X509_V_OK){
printf("證書驗證通過\n");
}
if (cert != NULL) {
printf("數(shù)字證書信息:\n");
line = X509_NAME_oneline(X509_get_subject_name(cert), 0, 0);
printf("證書: %s\n", line);
free(line);
line = X509_NAME_oneline(X509_get_issuer_name(cert), 0, 0);
printf("頒發(fā)者: %s\n", line);
free(line);
X509_free(cert);
} else
printf("無證書信息！\n");
}
int main(int argc, char **argv) {
int sockfd, new_fd;
socklen_t len;
struct sockaddr_in my_addr, their_addr;
unsigned int myport, lisnum;
char buf[MAXBUF + 1];
SSL_CTX *ctx;
if (argv[1])
myport = atoi(argv[1]);
else
myport = 7838;
if (argv[2])
lisnum = atoi(argv[2]);
else
lisnum = 2;
/* SSL 庫初始化 */
SSL_library_init();
/* 載入所有 SSL 算法 */
OpenSSL_add_all_algorithms();
/* 載入所有 SSL 錯誤消息 */
SSL_load_error_strings();
/* 以 SSL V2 和 V3 標準兼容方式產(chǎn)生一個 SSL_CTX ，即 SSL Content Text */
ctx = SSL_CTX_new(SSLv23_server_method());
/* 也可以用 SSLv2_server_method() 或 SSLv3_server_method() 單獨表示 V2 或 V3標準 */
if (ctx == NULL) {
ERR_print_errors_fp(stdout);
exit(1);
}
// 雙向驗證
// SSL_VERIFY_PEER---要求對證書進行認證，沒有證書也會放行
// SSL_VERIFY_FAIL_IF_NO_PEER_CERT---要求客戶端需要提供證書，但驗證發(fā)現(xiàn)單獨使用沒有證書也會放行
SSL_CTX_set_verify(ctx, SSL_VERIFY_PEER|SSL_VERIFY_FAIL_IF_NO_PEER_CERT, NULL);
// 設置信任根證書
if (SSL_CTX_load_verify_locations(ctx, "ca.crt",NULL)<=0){
ERR_print_errors_fp(stdout);
exit(1);
}
/* 載入用戶的數(shù)字證書， 此證書用來發(fā)送給客戶端。 證書里包含有公鑰 */
if (SSL_CTX_use_certificate_file(ctx, argv[3], SSL_FILETYPE_PEM) <= 0) {
ERR_print_errors_fp(stdout);
exit(1);
}
/* 載入用戶私鑰 */
if (SSL_CTX_use_PrivateKey_file(ctx, argv[4], SSL_FILETYPE_PEM) <= 0) {
ERR_print_errors_fp(stdout);
exit(1);
}
/* 檢查用戶私鑰是否正確 */
if (!SSL_CTX_check_private_key(ctx)) {
ERR_print_errors_fp(stdout);
exit(1);
}
/* 開啟一個 socket 監(jiān)聽 */
if ((sockfd = socket(PF_INET, SOCK_STREAM, 0)) == -1) {
perror("socket");
exit(1);
} else
printf("socket created\n");
bzero(&my_addr, sizeof(my_addr));
my_addr.sin_family = PF_INET;
my_addr.sin_port = htons(myport);
my_addr.sin_addr.s_addr = INADDR_ANY;
if (bind(sockfd, (struct sockaddr *) &my_addr, sizeof(struct sockaddr))
== -1) {
perror("bind");
exit(1);
} else
printf("binded\n");
if (listen(sockfd, lisnum) == -1) {
perror("listen");
exit(1);
} else
printf("begin listen\n");
while (1) {
SSL *ssl;
len = sizeof(struct sockaddr);
/* 等待客戶端連上來 */
if ((new_fd = accept(sockfd, (struct sockaddr *) &their_addr, &len))
== -1) {
perror("accept");
exit(errno);
} else
printf("server: got connection from %s, port %d, socket %d\n",
inet_ntoa(their_addr.sin_addr), ntohs(their_addr.sin_port),
new_fd);
/* 基于 ctx 產(chǎn)生一個新的 SSL */
ssl = SSL_new(ctx);
/* 將連接用戶的 socket 加入到 SSL */
SSL_set_fd(ssl, new_fd);
/* 建立 SSL 連接 */
if (SSL_accept(ssl) == -1) {
perror("accept");
close(new_fd);
break;
}
ShowCerts(ssl);
/* 開始處理每個新連接上的數(shù)據(jù)收發(fā) */
bzero(buf, MAXBUF + 1);
strcpy(buf, "server->client");
/* 發(fā)消息給客戶端 */
len = SSL_write(ssl, buf, strlen(buf));
if (len <= 0) {
printf("消息'%s'發(fā)送失??！錯誤代碼是%d，錯誤信息是'%s'\n", buf, errno,
strerror(errno));
goto finish;
} else
printf("消息'%s'發(fā)送成功，共發(fā)送了%d個字節(jié)！\n", buf, len);
bzero(buf, MAXBUF + 1);
/* 接收客戶端的消息 */
len = SSL_read(ssl, buf, MAXBUF);
if (len > 0)
printf("接收消息成功:'%s'，共%d個字節(jié)的數(shù)據(jù)\n", buf, len);
else
printf("消息接收失敗！錯誤代碼是%d，錯誤信息是'%s'\n",
errno, strerror(errno));
/* 處理每個新連接上的數(shù)據(jù)收發(fā)結束 */
finish:
/* 關閉 SSL 連接 */
SSL_shutdown(ssl);
/* 釋放 SSL */
SSL_free(ssl);
/* 關閉 socket */
close(new_fd);
}
/* 關閉監(jiān)聽的 socket */
close(sockfd);
/* 釋放 CTX */
SSL_CTX_free(ctx);
return 0;
}2.3 客戶端代碼
#include <stdio.h>
#include <string.h>
#include <errno.h>
#include <sys/socket.h>
#include <resolv.h>
#include <stdlib.h>
#include <netinet/in.h>
#include <arpa/inet.h>
#include <unistd.h>
#include <openssl/ssl.h>
#include <openssl/err.h>
#define MAXBUF 1024
void ShowCerts(SSL * ssl)
{
X509 *cert;
char *line;
cert = SSL_get_peer_certificate(ssl);
// SSL_get_verify_result()是重點，SSL_CTX_set_verify()只是配置啟不啟用并沒有執(zhí)行認證，調(diào)用該函數(shù)才會真證進行證書認證
// 如果驗證不通過，那么程序拋出異常中止連接
if(SSL_get_verify_result(ssl) == X509_V_OK){
printf("證書驗證通過\n");
}
if (cert != NULL) {
printf("數(shù)字證書信息:\n");
line = X509_NAME_oneline(X509_get_subject_name(cert), 0, 0);
printf("證書: %s\n", line);
free(line);
line = X509_NAME_oneline(X509_get_issuer_name(cert), 0, 0);
printf("頒發(fā)者: %s\n", line);
free(line);
X509_free(cert);
} else
printf("無證書信息！\n");
}
int main(int argc, char **argv)
{
int sockfd, len;
struct sockaddr_in dest;
char buffer[MAXBUF + 1];
SSL_CTX *ctx;
SSL *ssl;
if (argc != 5) {
printf("參數(shù)格式錯誤！正確用法如下：\n\t\t%s IP地址 端口\n\t比如:\t%s 127.0.0.1 80\n此程序用來從某個"
"IP 地址的服務器某個端口接收最多 MAXBUF 個字節(jié)的消息",
argv[0], argv[0]);
exit(0);
}
/* SSL 庫初始化，參看 ssl-server.c 代碼 */
SSL_library_init();
OpenSSL_add_all_algorithms();
SSL_load_error_strings();
ctx = SSL_CTX_new(SSLv23_client_method());
if (ctx == NULL) {
ERR_print_errors_fp(stdout);
exit(1);
}
// 雙向驗證
// SSL_VERIFY_PEER---要求對證書進行認證，沒有證書也會放行
// SSL_VERIFY_FAIL_IF_NO_PEER_CERT---要求客戶端需要提供證書，但驗證發(fā)現(xiàn)單獨使用沒有證書也會放行
SSL_CTX_set_verify(ctx, SSL_VERIFY_PEER|SSL_VERIFY_FAIL_IF_NO_PEER_CERT, NULL);
// 設置信任根證書
if (SSL_CTX_load_verify_locations(ctx, "ca.crt",NULL)<=0){
ERR_print_errors_fp(stdout);
exit(1);
}
/* 載入用戶的數(shù)字證書， 此證書用來發(fā)送給客戶端。 證書里包含有公鑰 */
if (SSL_CTX_use_certificate_file(ctx, argv[3], SSL_FILETYPE_PEM) <= 0) {
ERR_print_errors_fp(stdout);
exit(1);
}
/* 載入用戶私鑰 */
if (SSL_CTX_use_PrivateKey_file(ctx, argv[4], SSL_FILETYPE_PEM) <= 0) {
ERR_print_errors_fp(stdout);
exit(1);
}
/* 檢查用戶私鑰是否正確 */
if (!SSL_CTX_check_private_key(ctx)) {
ERR_print_errors_fp(stdout);
exit(1);
}
/* 創(chuàng)建一個 socket 用于 tcp 通信 */
if ((sockfd = socket(AF_INET, SOCK_STREAM, 0)) < 0) {
perror("Socket");
exit(errno);
}
printf("socket created\n");
/* 初始化服務器端（對方）的地址和端口信息 */
bzero(&dest, sizeof(dest));
dest.sin_family = AF_INET;
dest.sin_port = htons(atoi(argv[2]));
if (inet_aton(argv[1], (struct in_addr *) &dest.sin_addr.s_addr) == 0) {
perror(argv[1]);
exit(errno);
}
printf("address created\n");
/* 連接服務器 */
if (connect(sockfd, (struct sockaddr *) &dest, sizeof(dest)) != 0) {
perror("Connect ");
exit(errno);
}
printf("server connected\n");
/* 基于 ctx 產(chǎn)生一個新的 SSL */
ssl = SSL_new(ctx);
SSL_set_fd(ssl, sockfd);
/* 建立 SSL 連接 */
if (SSL_connect(ssl) == -1)
ERR_print_errors_fp(stderr);
else {
printf("Connected with %s encryption\n", SSL_get_cipher(ssl));
ShowCerts(ssl);
}
/* 接收對方發(fā)過來的消息，最多接收 MAXBUF 個字節(jié) */
bzero(buffer, MAXBUF + 1);
/* 接收服務器來的消息 */
len = SSL_read(ssl, buffer, MAXBUF);
if (len > 0)
printf("接收消息成功:'%s'，共%d個字節(jié)的數(shù)據(jù)\n",
buffer, len);
else {
printf
("消息接收失?。″e誤代碼是%d，錯誤信息是'%s'\n",
errno, strerror(errno));
goto finish;
}
bzero(buffer, MAXBUF + 1);
strcpy(buffer, "from client->server");
/* 發(fā)消息給服務器 */
len = SSL_write(ssl, buffer, strlen(buffer));
if (len < 0)
printf
("消息'%s'發(fā)送失?。″e誤代碼是%d，錯誤信息是'%s'\n",
buffer, errno, strerror(errno));
else
printf("消息'%s'發(fā)送成功，共發(fā)送了%d個字節(jié)！\n",
buffer, len);
finish:
/* 關閉連接 */
SSL_shutdown(ssl);
SSL_free(ssl);
close(sockfd);
SSL_CTX_free(ctx);
return 0;
}2.4 證書生成
注意三點
第一點，注意將其中的私鑰加密密碼（-passout參數(shù)）修改成自己的密碼；下邊都是以帶-passout參數(shù)生成私鑰，如果使用-nodes參數(shù)，則最后一步“將加密的RSA密鑰轉(zhuǎn)成未加密的RSA密鑰”不需要執(zhí)行。
第二點，證書和密鑰給出了直接一步生成和分步生成兩種形式，兩種形式是等價的，這里使用直接生成形式（分步生成形式被注釋）
第三點，注意將其中的證書信息改成自己的組織信息的。其中證數(shù)各參數(shù)含義如下：
C-----國家（Country Name）
ST----省份（State or Province Name）
L----城市（Locality Name）
O----公司（Organization Name）
OU----部門（Organizational Unit Name）
CN----產(chǎn)品名（Common Name）
emailAddress----郵箱（Email Address）
# CA證書及密鑰生成方法一----直接生成CA密鑰及其自簽名證書 # 如果想以后讀取私鑰文件ca_rsa_private.pem時不需要輸入密碼，亦即不對私鑰進行加密存儲，那么將-passout pass:123456替換成-nodes openssl req -newkey rsa:2048 -passout pass:123456 -keyout ca_rsa_private.pem -x509 -days 365 -out ca.crt -subj "/C=CN/ST=GD/L=SZ/O=COM/OU=NSP/CN=CA/emailAddress=youremail@qq.com" # CA證書及密鑰生成方法二----分步生成CA密鑰及其自簽名證書： # openssl genrsa -aes256 -passout pass:123456 -out ca_rsa_private.pem 2048 # openssl req -new -x509 -days 365 -key ca_rsa_private.pem -passin pass:123456 -out ca.crt -subj "/C=CN/ST=GD/L=SZ/O=COM/OU=NSP/CN=CA/emailAddress=youremail@qq.com" # 服務器證書及密鑰生成方法一----直接生成服務器密鑰及待簽名證書 # 如果想以后讀取私鑰文件server_rsa_private.pem時不需要輸入密碼，亦即不對私鑰進行加密存儲，那么將-passout pass:server替換成-nodes openssl req -newkey rsa:2048 -passout pass:server -keyout server_rsa_private.pem -out server.csr -subj "/C=CN/ST=GD/L=SZ/O=COM/OU=NSP/CN=SERVER/emailAddress=youremail@qq.com" # 服務器證書及密鑰生成方法二----分步生成服務器密鑰及待簽名證書 # openssl genrsa -aes256 -passout pass:server -out server_rsa_private.pem 2048 # openssl req -new -key server_rsa_private.pem -passin pass:server -out server.csr -subj "/C=CN/ST=GD/L=SZ/O=COM/OU=NSP/CN=SERVER/emailAddress=youremail@qq.com" # 使用CA證書及密鑰對服務器證書進行簽名： openssl x509 -req -days 365 -in server.csr -CA ca.crt -CAkey ca_rsa_private.pem -passin pass:123456 -CAcreateserial -out server.crt # 將加密的RSA密鑰轉(zhuǎn)成未加密的RSA密鑰，避免每次讀取都要求輸入解密密碼 # 密碼就是生成私鑰文件時設置的passout、讀取私鑰文件時要輸入的passin，比如這里要輸入“server” openssl rsa -in server_rsa_private.pem -out server_rsa_private.pem.unsecure # 客戶端證書及密鑰生成方法一----直接生成客戶端密鑰及待簽名證書 # 如果想以后讀取私鑰文件client_rsa_private.pem時不需要輸入密碼，亦即不對私鑰進行加密存儲，那么將-passout pass:client替換成-nodes openssl req -newkey rsa:2048 -passout pass:client -keyout client_rsa_private.pem -out client.csr -subj "/C=CN/ST=GD/L=SZ/O=COM/OU=NSP/CN=CLIENT/emailAddress=youremail@qq.com" # 客戶端證書及密鑰生成方法二----分步生成客戶端密鑰及待簽名證書： # openssl genrsa -aes256 -passout pass:client -out client_rsa_private.pem 2048 # openssl req -new -key client_rsa_private.pem -passin pass:client -out client.csr -subj "/C=CN/ST=GD/L=SZ/O=COM/OU=NSP/CN=CLIENT/emailAddress=youremail@qq.com" # 使用CA證書及密鑰對客戶端證書進行簽名： openssl x509 -req -days 365 -in client.csr -CA ca.crt -CAkey ca_rsa_private.pem -passin pass:123456 -CAcreateserial -out client.crt # 將加密的RSA密鑰轉(zhuǎn)成未加密的RSA密鑰，避免每次讀取都要求輸入解密密碼 # 密碼就是生成私鑰文件時設置的passout、讀取私鑰文件時要輸入的passin，比如這里要輸入“client” openssl rsa -in client_rsa_private.pem -out client_rsa_private.pem.unsecure
2.5 開發(fā)環(huán)境配置
操作系統(tǒng)----kali-roaling。為了使用現(xiàn)在虛擬機而已，使用ubuntu、centos等等應該都是沒差別的。
IDE----eclipse。直接在終端中編譯不通過沒深究，放eclipse編譯沒問題就直接使用eclipse。
2.5.1 在同一活動目錄下建了兩個project
myclient1----建src文件夾放客戶端代碼
myserver1----建src文件夾放服務端代碼
（其他目錄要么是自動生成的，要么是編譯后自動生成的，不用管；如果項目有報錯試試多重啟幾次eclipse甚操作系統(tǒng)）
2.5.2 指定ssl和crypto
在項目文件夾上右鍵----Properties----指定ssl庫和crypto庫目錄不然編譯找不到ssl。兩個project都要配置
2.5.3 編譯
使用Ctrl+B快捷鍵進行編譯，eclipse會編譯所有project
2.5.4 證書復制
將前邊生成的ca證書（ca.crt）、客戶端證書（client.crt）、客戶端未加密私鑰文件（）復制到myclient1項目的Debug目錄下
將前邊生成的ca證書、服務端證書、服務端端未加密私鑰文件復制到myclient1項目的Debug目錄下
2.5.5 運行程序
先運行服務端后運行客戶端
./myserver1 7838 1 server.crt server_rsa_private.pem.unsecure
./myclient1 127.0.0.1 7838 client.crt client_rsa_private.pem.unsecure
運行結果如下，服務端：
客戶端：
看完上述內(nèi)容，是不是對Openssl如何實現(xiàn)雙向認證有進一步的了解，如果還想學習更多內(nèi)容，歡迎關注億速云行業(yè)資訊頻道。
免責聲明：本站發(fā)布的內(nèi)容（圖片、視頻和文字）以原創(chuàng)、轉(zhuǎn)載和分享為主，文章觀點不代表本網(wǎng)站立場，如果涉及侵權請聯(lián)系站長郵箱：is@yisu.com進行舉報，并提供相關證據(jù)，一經(jīng)查實，將立刻刪除涉嫌侵權內(nèi)容。
