Android开发之基于Netty的TCP连接中使用SSL加密
1 Introduction
数据安全在网络通信中是非常重要的一个方面。为了支持 SSL/TLS，Java 提供了 javax.net.ssl包下的类SslContext 和 SslEngine 。在Netty框架下，I/O数据在ChannelPipeline中被管道中的ChannelHandler处理并转发给下一个ChannelHandler。自然而然地，Netty也提供了ChannelHandler的实现SslHandler来支持SSL, 有一个内部 SslEngine 做实际的工作。
2 Steps
首先看看SslHandler的构造函数：
public SslHandler(SSLEngine engine) {
this(engine, false);
}
public SslHandler(SSLEngine engine, boolean startTls) {
this(engine, startTls, ImmediateExecutor.INSTANCE);
}
不难发现，我们需要一个SSLEngine对象来构建SslHandler。根据资料可以知道，需要根据已初始化的 SSLContext 来调用 SSLContext.createSSLEngine() 即可创建 SSLEngine。
所以基于Netty框架的在TCP连接中使用SSL/TLS加密的流程如下：
- 在代码中导入证书，并使用该证书构造
SSLContext - 调用
SSLContext对象的createSSLEngine()创建SSLEngine - 用
SSLEngine对象去初始化Netty的SslHandler - 在Netty的
ChannelInitializer.initChannel()中，往管道(pipeline)中安装SslHandler。
3 Usage
3.1 导入证书
public SSLContext getClientSSLContext(){
KeyStore trustKeyStore= KeyStore.getInstance("JKS");// 访问Java密钥库，JKS是keytool创建的Java密钥库
InputStream keyStream = MyApplication.getAppContext().getAssets().open("key.jks");//打开证书文件（.jks格式）
char keyStorePass[]="12345678".toCharArray(); //证书密码
keyStore .load(trustKeyStore,keyStorePass);
TrustManagerFactory trustManagerFactory = TrustManagerFactory.getInstance(TrustManagerFactory.getDefaultAlgorithm());
trustManagerFactory.init(keyStore );//保存服务端的授权证书
SSLContext clientContext = SSLContext.getInstance( "TLS");
clientContext.init(null, trustManagerFactory.getTrustManagers(), null);
return clientContext;
}
在上述代码，只是实现了client采用trustKeyStore中的key.jks证书（包含了server的公钥）对数据解密，如果解密成功，证明消息来自server，进行逻辑处理。
仅仅是server->client单向的SSL认证。
如果要实现server和client之间双向的身份认证，需要模仿trustManagerFactory的初始化来构建一个KeyManagerFactory来其中保存客户端的私钥，并传入
clientContext.init(kmf.getKeyManagers(), trustManagerFactory.getTrustManagers(), null);
具体参照 SSL双向认证java实现
3.2 添加 SslHandler
ChannelHandler在应该初始化（ChannelInitializer.initChannel()被调用时）阶段被安装在ChannelPipeline中。
Bootstrap的介绍参考Android开发之使用Netty进行Socket编程（二）
Boostrap的初始化参考Android开发之使用Netty进行Socket编程（三）
bootstrap.handler(new ChannelInitializer<SocketChannel>() {
@Override
protected void initChannel(SocketChannel ch) throws Exception {
ChannelPipeline pipeline = ch.pipeline();
SSLEngine engine = getClientSSLContext().createSSLEngine();
engine.setUseClientMode(true);
pipeline.addFirst("ssl", new SslHandler(engine));
//....再添加其他的ChannelHandler
pipeline.addLast(nettyChannelHandler);
}
});
在大多数情况下,SslHandler 将成为 ChannelPipeline 中的第一个 ChannelHandler，所以调用了pipeline.addFirst() 。这将确保所有其他 ChannelHandler 应用他们的逻辑到数据后加密后才发生,从而确保他们的变化是安全的。
