带有 netty 服务器的 Android 客户端 (SSLSocket)答案

【问题标题】：Android client with netty server (SSLSocket)带有 netty 服务器的 Android 客户端 (SSLSocket)
【发布时间】：2015-03-10 12:07:51
【问题描述】：

我已经按照教程的描述创建了一个非常简单的 Netty 安全聊天服务器，并开始使用它：

SelfSignedCertificate ssc = new SelfSignedCertificate();

SslContext sslCtx = SslContext.newServerContext(ssc.certificate(), ssc.privateKey());`

之后，我创建了一个简单的 SSLSocket 以通过 Android 手机与之通信。我通过另一个线程执行连接并将其配置如下：

protected SSLSocket getConnection(String ip, int port) throws IOException {
    try {
        KeyStore trustStore = KeyStore.getInstance("BKS");
        InputStream trustStoreStream = context.getResources().openRawResource(R.raw.server);
        trustStore.load(trustStoreStream, "myPassword".toCharArray());

        TrustManagerFactory trustManagerFactory = TrustManagerFactory.getInstance(KeyManagerFactory.getDefaultAlgorithm());
        trustManagerFactory.init(trustStore);

        SSLContext sslContext = SSLContext.getInstance("TLS");
        sslContext.init(null, trustManagerFactory.getTrustManagers(), null);

        SSLSocketFactory factory = sslContext.getSocketFactory();
        SSLSocket socket = (SSLSocket) factory.createSocket(ip, port);
        socket.setEnabledCipherSuites(SSLUtils.getCipherSuitesWhiteList(socket.getEnabledCipherSuites()));
        return socket;
    } catch (GeneralSecurityException e) {
        throw new IOException(e.getMessage());
    }
}

这样，我做一个

sslsocket = getConnection(SERVERIP, SERVERPORT);

out = new PrintWriter(new BufferedWriter(new OutputStreamWriter(sslsocket.getOutputStream())));

而正是在“out = ...”这一行引发了以下异常：

01-12 14:43:16.002: W/System.err(9979): javax.net.ssl.SSLHandshakeException: ?java.security.cert.CertPathValidatorException: 找不到证书路径的信任锚。 01-12 14:43:16.002: W/System.err(9979): 在 com.android.org.conscrypt.OpenSSLSocketImpl.startHandshake(OpenSSLSocketImpl.java:409) 01-12 14:43:16.012: W/System.err(9979): 在 com.android.org.conscrypt.OpenSSLSocketImpl$SSLOutputStream.(OpenSSLSocketImpl.java:706) 01-12 14:43:16.012: W/System.err(9979): 在 com.android.org.conscrypt.OpenSSLSocketImpl.getOutputStream(OpenSSLSocketImpl.java:643) 01-12 14:43:16.012: W/System.err(9979): 在 com.mypath.connector.TCPClient.run(TCPClient.java:106) 01-12 14:43:16.012: W/System.err(9979): 在 com.mypath.SplashActivity$connectTask.doInBackground(SplashActivity.java:48) 01-12 14:43:16.012: W/System.err(9979): 在 com.mypath.SplashActivity$connectTask.doInBackground(SplashActivity.java:1) 01-12 14:43:16.012: W/System.err(9979): 在 android.os.AsyncTask$2.call(AsyncTask.java:288) 01-12 14:43:16.012: W/System.err(9979): 在 java.util.concurrent.FutureTask.run(FutureTask.java:237) 01-12 14:43:16.012: W/System.err(9979): 在 android.os.AsyncTask$SerialExecutor$1.run(AsyncTask.java:231) 01-12 14:43:16.012: W/System.err(9979): 在 java.util.concurrent.ThreadPoolExecutor.runWorker(ThreadPoolExecutor.java:1112) 01-12 14:43:16.012: W/System.err(9979): 在 java.util.concurrent.ThreadPoolExecutor$Worker.run(ThreadPoolExecutor.java:587) 01-12 14:43:16.012: W/System.err(9979): 在 java.lang.Thread.run(Thread.java:841) 01-12 14:43:16.012：W/System.err(9979)：原因：java.security.cert.CertificateException：java.security.cert.CertPathValidatorException：找不到证书路径的信任锚。 01-12 14:43:16.012: W/System.err(9979): 在 com.android.org.conscrypt.TrustManagerImpl.checkTrusted(TrustManagerImpl.java:282) 01-12 14:43:16.012: W/System.err(9979): 在 com.android.org.conscrypt.TrustManagerImpl.checkServerTrusted(TrustManagerImpl.java:202) 01-12 14:43:16.012: W/System.err(9979): 在 com.android.org.conscrypt.OpenSSLSocketImpl.verifyCertificateChain(OpenSSLSocketImpl.java:611) 01-12 14:43:16.012: W/System.err(9979): at com.android.org.conscrypt.NativeCrypto.SSL_do_handshake(Native Method) 01-12 14:43:16.012: W/System.err(9979): 在 com.android.org.conscrypt.OpenSSLSocketImpl.startHandshake(OpenSSLSocketImpl.java:405) 01-12 14:43:16.012: W/System.err(9979): ... 11 更多 01-12 14:43:16.012：W/System.err(9979)：原因：java.security.cert.CertPathValidatorException：找不到证书路径的信任锚。 01-12 14:43:16.012: W/System.err(9979): ... 16 更多

有谁知道我做错了什么？

【问题讨论】：

标签： java android ssl netty

【解决方案1】：

出于开发目的，您可以使用对所有 TrustManager 的信任。这种“解决方案”根本不安全。

 TrustManager tm = new X509TrustManager() {
            public void checkClientTrusted(X509Certificate[] chain, String authType) throws CertificateException {
            }

            public void checkServerTrusted(X509Certificate[] chain, String authType) throws CertificateException {
            }

            public X509Certificate[] getAcceptedIssuers() {
                return null;
            }
        };

最佳解决方案是： Trusting all certificates using HttpClient over HTTPS

【讨论】：

【解决方案2】：

您的客户端应该信任服务器证书，因此为了测试目的，您可以使用 Netty 的 InsecureTrustManagerFactory，而不是使用 JAVA 的 TrustManagerFactory 和配置它，这有时很繁琐。这样，您的客户端将信任服务器发送的任何证书。但请确保不要在生产中使用它，这是非常不安全的。

【讨论】：