具有客户端身份验证的 Android 上 SSL/TLS http 客户端的运行时配置答案

【问题标题】：Runtime configuration of SSL/TLS http client on Android with client authentication具有客户端身份验证的 Android 上 SSL/TLS http 客户端的运行时配置
【发布时间】：2011-11-06 21:12:24
【问题描述】：

以下测试设置在 Android 模拟器上运行良好。它打开一个基于 SSL/TLS 的连接到使用相互认证的外部服务器：

ca.crt（验证服务器证书）：
-----开始证书-----
BASE64 编码的东西
-----证书结束-----

client.p12（包括由服务器信任的私有 CA 签名的客户端证书）：PKCS#12 格式

成功运行的Java/Android代码：

trustStore = KeyStore.getInstance("bks");
trustStore.load(null, null);
caCertificate = getX509Certificate("/some/path/ca.crt");
trustStore.setCertificateEntry("ca-cert", caCertificate);

keyStore = KeyStore.getInstance("pkcs12");
keyStore.load(null, null);
InputStream is = new FileInputStream("/some/path/client.p12");
keyStore.load(is, "passwd".toCharArray());

TrustManagerFactory trustManagerFactory = TrustManagerFactory.getInstance("X509");
trustManagerFactory.init(trustStore);
KeyManagerFactory keyManagerFactory = KeyManagerFactory.getInstance("X509");
keyManagerFactory.init(keyStore, null);

context = SSLContext.getInstance("TLS");
context.init(keyManagerFactory.getKeyManagers(), trustManagerFactory.getTrustManagers(), new SecureRandom());

URL url = new URL("https://www.backend.com");
HttpsURLConnection connection = (HttpsURLConnection) url.openConnection();
connection.setSSLSocketFactory(context.getSocketFactory());
connection.setDoInput(true);
connection.setDoInput(true);
BufferedReader urlReader = new BufferedReader(new InputStreamReader(connection.getInputStream()));
String inputLine;
while ( (inputLine=urlReader.readLine()) != null ){
    System.out.println(inputLine);
}

但是，client.p12 在运行时不可用。 http客户端通过单独的接收以下配置专用频道：

PEM 编码的 X509 客户端证书 (client.crt)
DER 格式的私钥客户端 (client.der)

因此，我将上面以 client.p12 作为输入的密钥库初始化更改为以下内容：

keyStore = KeyStore.getInstance("bks");
keyStore.load(null, null);
clientCertificate = getX509Certificate("/some/path/client.crt");
byte[] privateKey =  getBytesFromFile("/some/path/client.der");
Certificate[] chain = new Certificate[2];
chain[1] = caCertificate;
chain[0] = clientCertificate;        
keyStore.setCertificateEntry("client-cert", clientCertificate);
keyStore.setKeyEntry("client-cert-key", privateKey, chain);

runtime 执行时抛出异常

context = SSLContext.getInstance("TLS");
---->  context.init(keyManagerFactory.getKeyManagers(), trustManagerFactory.getTrustManagers(), new SecureRandom());

java.lang.RuntimeException: forget something!
at org.bouncycastle.jce.provider.JDKKeyStore$StoreEntry.getObject(JDKKeyStore.java:314)
at org.bouncycastle.jce.provider.JDKKeyStore.engineGetKey(JDKKeyStore.java:604)
at java.security.KeyStoreSpi.engineGetEntry(KeyStoreSpi.java:376)
at java.security.KeyStore.getEntry(KeyStore.java:734)
at org.apache.harmony.xnet.provider.jsse.KeyManagerImpl.<init>(KeyManagerImpl.java:72)

总结：一切都在使用 pcks12 证书/私钥对，但没有使用上述格式的两者。

鉴于前面提到的 client.der/client.pem，有什么建议或者关于实施客户端身份验证的建议吗？

附：运行 keytool 运行时不是一个选项，因为我在运行时没有它，我不想那样做。

【问题讨论】：

标签： android authentication bouncycastle ssl

【解决方案1】：

简单：未实现将键作为字节数组传递。引用JDKKeyStore.java:

        else
        {
            throw new RuntimeException("forget something!");
            // TODO
            // if we get to here key was saved as byte data, which
            // according to the docs means it must be a private key
            // in EncryptedPrivateKeyInfo (PKCS8 format), later...
            //
        }

您可以尝试使用void setKeyEntry(String alias, Key key, char[] password, Certificate[] chain) 方法注册您的密钥和证书，似乎支持（未经测试）。

【讨论】：