Openssl實(shí)現(xiàn)雙向認(rèn)證教程（附服務(wù)端客戶端代碼）

更新時間：2020年05月09日 08:56:36 作者：努力改個網(wǎng)名

這篇文章主要介紹了Openssl實(shí)現(xiàn)雙向認(rèn)證教程（附服務(wù)端客戶端代碼）,文中通過示例代碼介紹的非常詳細(xì)，對大家的學(xué)習(xí)或者工作具有一定的參考學(xué)習(xí)價值,需要的朋友可以參考下

一、背景說明

1.1 面臨問題

最近一份產(chǎn)品檢測報告建議使用基于pki的認(rèn)證方式，由于產(chǎn)品已實(shí)現(xiàn)https，商量之下認(rèn)為其意思是使用雙向認(rèn)證以處理中間人形式攻擊。

《信息安全工程》中接觸過雙向認(rèn)證，但有兩個問題。

第一個是當(dāng)時最終的課程設(shè)計客戶端是瀏覽器，服務(wù)端是tomcat雙向認(rèn)證只需要對兩者進(jìn)行配置并不需要自己真的實(shí)現(xiàn)代碼。

第二個是雖然課程也有接近雙向認(rèn)證的實(shí)現(xiàn)代碼，但當(dāng)時是Java+JCE環(huán)境現(xiàn)在要用C+++OpenSSL環(huán)境，總體意思確實(shí)還是差不多但具體函數(shù)和參數(shù)差別還是不少。

所以眼下有的是：證書生成的思想+雙向認(rèn)證實(shí)現(xiàn)的思想。對讀者而言，即要假定已對證書、SSL/TSL、socket編程等幾個概念有基本的了解，本文不做詳細(xì)介紹。

基于此本文要解決的問題是：openssl具體如何生成證書+openssl如何實(shí)現(xiàn)雙向認(rèn)證。

雙向認(rèn)證的關(guān)鍵點(diǎn)在以下幾個函數(shù)（服務(wù)端和客戶端都一樣），其他就不細(xì)說參看代碼注釋：

SSL_CTX_set_verify----配置啟用雙向認(rèn)證

SSL_CTX_load_verify_locations----加載信任的根證書

SSL_CTX_use_certificate_file----加載自己的證書

SSL_CTX_use_PrivateKey_file----加載自己的私鑰

SSL_get_verify_result----真正進(jìn)行驗(yàn)證，一定要調(diào)用這個函數(shù)不然前面四個光配置而已并不會進(jìn)行雙向驗(yàn)證

二、雙向認(rèn)證程序?qū)崿F(xiàn)

2.1 安裝openssl及開發(fā)api

apt-get install libssl-dev

2.2 服務(wù)端代碼

#include <stdio.h>
#include <stdlib.h>
#include <errno.h>
#include <string.h>
#include <sys/types.h>
#include <netinet/in.h>
#include <sys/socket.h>
#include <sys/wait.h>
#include <unistd.h>
#include <arpa/inet.h>
#include <openssl/ssl.h>
#include <openssl/err.h>

#define MAXBUF 1024

void ShowCerts(SSL * ssl)
{
  X509 *cert;
  char *line;

  cert = SSL_get_peer_certificate(ssl);
  // SSL_get_verify_result()是重點(diǎn)，SSL_CTX_set_verify()只是配置啟不啟用并沒有執(zhí)行認(rèn)證，調(diào)用該函數(shù)才會真證進(jìn)行證書認(rèn)證
  // 如果驗(yàn)證不通過，那么程序拋出異常中止連接
  if(SSL_get_verify_result(ssl) == X509_V_OK){
    printf("證書驗(yàn)證通過\n");
  }
  if (cert != NULL) {
    printf("數(shù)字證書信息:\n");
    line = X509_NAME_oneline(X509_get_subject_name(cert), 0, 0);
    printf("證書: %s\n", line);
    free(line);
    line = X509_NAME_oneline(X509_get_issuer_name(cert), 0, 0);
    printf("頒發(fā)者: %s\n", line);
    free(line);
    X509_free(cert);
  } else
    printf("無證書信息！\n");
}

int main(int argc, char **argv) {
  int sockfd, new_fd;
  socklen_t len;
  struct sockaddr_in my_addr, their_addr;
  unsigned int myport, lisnum;
  char buf[MAXBUF + 1];
  SSL_CTX *ctx;

  if (argv[1])
    myport = atoi(argv[1]);
  else
    myport = 7838;

  if (argv[2])
    lisnum = atoi(argv[2]);
  else
    lisnum = 2;

  /* SSL 庫初始化 */
  SSL_library_init();
  /* 載入所有 SSL 算法 */
  OpenSSL_add_all_algorithms();
  /* 載入所有 SSL 錯誤消息 */
  SSL_load_error_strings();
  /* 以 SSL V2 和 V3 標(biāo)準(zhǔn)兼容方式產(chǎn)生一個 SSL_CTX ，即 SSL Content Text */
  ctx = SSL_CTX_new(SSLv23_server_method());
  /* 也可以用 SSLv2_server_method() 或 SSLv3_server_method() 單獨(dú)表示 V2 或 V3標(biāo)準(zhǔn) */
  if (ctx == NULL) {
    ERR_print_errors_fp(stdout);
    exit(1);
  }

  // 雙向驗(yàn)證
  // SSL_VERIFY_PEER---要求對證書進(jìn)行認(rèn)證，沒有證書也會放行
  // SSL_VERIFY_FAIL_IF_NO_PEER_CERT---要求客戶端需要提供證書，但驗(yàn)證發(fā)現(xiàn)單獨(dú)使用沒有證書也會放行
  SSL_CTX_set_verify(ctx, SSL_VERIFY_PEER|SSL_VERIFY_FAIL_IF_NO_PEER_CERT, NULL);
  // 設(shè)置信任根證書
  if (SSL_CTX_load_verify_locations(ctx, "ca.crt",NULL)<=0){
    ERR_print_errors_fp(stdout);
    exit(1);
  }

  /* 載入用戶的數(shù)字證書， 此證書用來發(fā)送給客戶端。 證書里包含有公鑰 */
  if (SSL_CTX_use_certificate_file(ctx, argv[3], SSL_FILETYPE_PEM) <= 0) {
    ERR_print_errors_fp(stdout);
    exit(1);
  }
  /* 載入用戶私鑰 */
  if (SSL_CTX_use_PrivateKey_file(ctx, argv[4], SSL_FILETYPE_PEM) <= 0) {
    ERR_print_errors_fp(stdout);
    exit(1);
  }
  /* 檢查用戶私鑰是否正確 */
  if (!SSL_CTX_check_private_key(ctx)) {
    ERR_print_errors_fp(stdout);
    exit(1);
  }

  /* 開啟一個 socket 監(jiān)聽 */
  if ((sockfd = socket(PF_INET, SOCK_STREAM, 0)) == -1) {
    perror("socket");
    exit(1);
  } else
    printf("socket created\n");

  bzero(&my_addr, sizeof(my_addr));
  my_addr.sin_family = PF_INET;
  my_addr.sin_port = htons(myport);
  my_addr.sin_addr.s_addr = INADDR_ANY;

  if (bind(sockfd, (struct sockaddr *) &my_addr, sizeof(struct sockaddr))
      == -1) {
    perror("bind");
    exit(1);
  } else
    printf("binded\n");

  if (listen(sockfd, lisnum) == -1) {
    perror("listen");
    exit(1);
  } else
    printf("begin listen\n");

  while (1) {
    SSL *ssl;
    len = sizeof(struct sockaddr);
    /* 等待客戶端連上來 */
    if ((new_fd = accept(sockfd, (struct sockaddr *) &their_addr, &len))
        == -1) {
      perror("accept");
      exit(errno);
    } else
      printf("server: got connection from %s, port %d, socket %d\n",
          inet_ntoa(their_addr.sin_addr), ntohs(their_addr.sin_port),
          new_fd);

    /* 基于 ctx 產(chǎn)生一個新的 SSL */
    ssl = SSL_new(ctx);
    /* 將連接用戶的 socket 加入到 SSL */
    SSL_set_fd(ssl, new_fd);
    /* 建立 SSL 連接 */
    if (SSL_accept(ssl) == -1) {
      perror("accept");
      close(new_fd);
      break;
    }
    ShowCerts(ssl);

    /* 開始處理每個新連接上的數(shù)據(jù)收發(fā) */
    bzero(buf, MAXBUF + 1);
    strcpy(buf, "server->client");
    /* 發(fā)消息給客戶端 */
    len = SSL_write(ssl, buf, strlen(buf));

    if (len <= 0) {
      printf("消息'%s'發(fā)送失??！錯誤代碼是%d，錯誤信息是'%s'\n", buf, errno,
          strerror(errno));
      goto finish;
    } else
      printf("消息'%s'發(fā)送成功，共發(fā)送了%d個字節(jié)！\n", buf, len);

    bzero(buf, MAXBUF + 1);
    /* 接收客戶端的消息 */
    len = SSL_read(ssl, buf, MAXBUF);
    if (len > 0)
      printf("接收消息成功:'%s'，共%d個字節(jié)的數(shù)據(jù)\n", buf, len);
    else
      printf("消息接收失??！錯誤代碼是%d，錯誤信息是'%s'\n",
      errno, strerror(errno));
    /* 處理每個新連接上的數(shù)據(jù)收發(fā)結(jié)束 */
    finish:
    /* 關(guān)閉 SSL 連接 */
    SSL_shutdown(ssl);
    /* 釋放 SSL */
    SSL_free(ssl);
    /* 關(guān)閉 socket */
    close(new_fd);
  }
  /* 關(guān)閉監(jiān)聽的 socket */
  close(sockfd);
  /* 釋放 CTX */
  SSL_CTX_free(ctx);
  return 0;
}

2.3 客戶端代碼

#include <stdio.h>
#include <string.h>
#include <errno.h>
#include <sys/socket.h>
#include <resolv.h>
#include <stdlib.h>
#include <netinet/in.h>
#include <arpa/inet.h>
#include <unistd.h>
#include <openssl/ssl.h>
#include <openssl/err.h>

#define MAXBUF 1024

void ShowCerts(SSL * ssl)
{
  X509 *cert;
  char *line;

  cert = SSL_get_peer_certificate(ssl);
  // SSL_get_verify_result()是重點(diǎn)，SSL_CTX_set_verify()只是配置啟不啟用并沒有執(zhí)行認(rèn)證，調(diào)用該函數(shù)才會真證進(jìn)行證書認(rèn)證
  // 如果驗(yàn)證不通過，那么程序拋出異常中止連接
  if(SSL_get_verify_result(ssl) == X509_V_OK){
    printf("證書驗(yàn)證通過\n");
  }
  if (cert != NULL) {
    printf("數(shù)字證書信息:\n");
    line = X509_NAME_oneline(X509_get_subject_name(cert), 0, 0);
    printf("證書: %s\n", line);
    free(line);
    line = X509_NAME_oneline(X509_get_issuer_name(cert), 0, 0);
    printf("頒發(fā)者: %s\n", line);
    free(line);
    X509_free(cert);
  } else
    printf("無證書信息！\n");
}

int main(int argc, char **argv)
{
  int sockfd, len;
  struct sockaddr_in dest;
  char buffer[MAXBUF + 1];
  SSL_CTX *ctx;
  SSL *ssl;

  if (argc != 5) {
    printf("參數(shù)格式錯誤！正確用法如下：\n\t\t%s IP地址 端口\n\t比如:\t%s 127.0.0.1 80\n此程序用來從某個"
       "IP 地址的服務(wù)器某個端口接收最多 MAXBUF 個字節(jié)的消息",
       argv[0], argv[0]);
    exit(0);
  }

  /* SSL 庫初始化，參看 ssl-server.c 代碼 */
  SSL_library_init();
  OpenSSL_add_all_algorithms();
  SSL_load_error_strings();
  ctx = SSL_CTX_new(SSLv23_client_method());
  if (ctx == NULL) {
    ERR_print_errors_fp(stdout);
    exit(1);
  }

  // 雙向驗(yàn)證
  // SSL_VERIFY_PEER---要求對證書進(jìn)行認(rèn)證，沒有證書也會放行
  // SSL_VERIFY_FAIL_IF_NO_PEER_CERT---要求客戶端需要提供證書，但驗(yàn)證發(fā)現(xiàn)單獨(dú)使用沒有證書也會放行
  SSL_CTX_set_verify(ctx, SSL_VERIFY_PEER|SSL_VERIFY_FAIL_IF_NO_PEER_CERT, NULL);
  // 設(shè)置信任根證書
  if (SSL_CTX_load_verify_locations(ctx, "ca.crt",NULL)<=0){
    ERR_print_errors_fp(stdout);
    exit(1);
  }

  /* 載入用戶的數(shù)字證書， 此證書用來發(fā)送給客戶端。 證書里包含有公鑰 */
  if (SSL_CTX_use_certificate_file(ctx, argv[3], SSL_FILETYPE_PEM) <= 0) {
    ERR_print_errors_fp(stdout);
    exit(1);
  }
  /* 載入用戶私鑰 */
  if (SSL_CTX_use_PrivateKey_file(ctx, argv[4], SSL_FILETYPE_PEM) <= 0) {
    ERR_print_errors_fp(stdout);
    exit(1);
  }
  /* 檢查用戶私鑰是否正確 */
  if (!SSL_CTX_check_private_key(ctx)) {
    ERR_print_errors_fp(stdout);
    exit(1);
  }

  /* 創(chuàng)建一個 socket 用于 tcp 通信 */
  if ((sockfd = socket(AF_INET, SOCK_STREAM, 0)) < 0) {
    perror("Socket");
    exit(errno);
  }
  printf("socket created\n");

  /* 初始化服務(wù)器端（對方）的地址和端口信息 */
  bzero(&dest, sizeof(dest));
  dest.sin_family = AF_INET;
  dest.sin_port = htons(atoi(argv[2]));
  if (inet_aton(argv[1], (struct in_addr *) &dest.sin_addr.s_addr) == 0) {
    perror(argv[1]);
    exit(errno);
  }
  printf("address created\n");

  /* 連接服務(wù)器 */
  if (connect(sockfd, (struct sockaddr *) &dest, sizeof(dest)) != 0) {
    perror("Connect ");
    exit(errno);
  }
  printf("server connected\n");

  /* 基于 ctx 產(chǎn)生一個新的 SSL */
  ssl = SSL_new(ctx);
  SSL_set_fd(ssl, sockfd);
  /* 建立 SSL 連接 */
  if (SSL_connect(ssl) == -1)
    ERR_print_errors_fp(stderr);
  else {
    printf("Connected with %s encryption\n", SSL_get_cipher(ssl));
    ShowCerts(ssl);
  }

  /* 接收對方發(fā)過來的消息，最多接收 MAXBUF 個字節(jié) */
  bzero(buffer, MAXBUF + 1);
  /* 接收服務(wù)器來的消息 */
  len = SSL_read(ssl, buffer, MAXBUF);
  if (len > 0)
    printf("接收消息成功:'%s'，共%d個字節(jié)的數(shù)據(jù)\n",
        buffer, len);
  else {
    printf
      ("消息接收失??！錯誤代碼是%d，錯誤信息是'%s'\n",
       errno, strerror(errno));
    goto finish;
  }
  bzero(buffer, MAXBUF + 1);
  strcpy(buffer, "from client->server");
  /* 發(fā)消息給服務(wù)器 */
  len = SSL_write(ssl, buffer, strlen(buffer));
  if (len < 0)
    printf
      ("消息'%s'發(fā)送失敗！錯誤代碼是%d，錯誤信息是'%s'\n",
       buffer, errno, strerror(errno));
  else
    printf("消息'%s'發(fā)送成功，共發(fā)送了%d個字節(jié)！\n",
        buffer, len);

 finish:
  /* 關(guān)閉連接 */
  SSL_shutdown(ssl);
  SSL_free(ssl);
  close(sockfd);
  SSL_CTX_free(ctx);
  return 0;
}

2.4 證書生成

注意三點(diǎn)

第一點(diǎn)，注意將其中的私鑰加密密碼（-passout參數(shù)）修改成自己的密碼；下邊都是以帶-passout參數(shù)生成私鑰，如果使用-nodes參數(shù)，則最后一步“將加密的RSA密鑰轉(zhuǎn)成未加密的RSA密鑰”不需要執(zhí)行。

第二點(diǎn)，證書和密鑰給出了直接一步生成和分步生成兩種形式，兩種形式是等價的，這里使用直接生成形式（分步生成形式被注釋）

第三點(diǎn)，注意將其中的證書信息改成自己的組織信息的。其中證數(shù)各參數(shù)含義如下：

C-----國家（Country Name）

ST----省份（State or Province Name）

L----城市（Locality Name）

O----公司（Organization Name）

OU----部門（Organizational Unit Name）

CN----產(chǎn)品名（Common Name）

emailAddress----郵箱（Email Address）

# CA證書及密鑰生成方法一----直接生成CA密鑰及其自簽名證書
# 如果想以后讀取私鑰文件ca_rsa_private.pem時不需要輸入密碼，亦即不對私鑰進(jìn)行加密存儲，那么將-passout pass:123456替換成-nodes
openssl req -newkey rsa:2048 -passout pass:123456 -keyout ca_rsa_private.pem -x509 -days 365 -out ca.crt -subj "/C=CN/ST=GD/L=SZ/O=COM/OU=NSP/CN=CA/emailAddress=youremail@qq.com"
# CA證書及密鑰生成方法二----分步生成CA密鑰及其自簽名證書：
# openssl genrsa -aes256 -passout pass:123456 -out ca_rsa_private.pem 2048
# openssl req -new -x509 -days 365 -key ca_rsa_private.pem -passin pass:123456 -out ca.crt -subj "/C=CN/ST=GD/L=SZ/O=COM/OU=NSP/CN=CA/emailAddress=youremail@qq.com"

# 服務(wù)器證書及密鑰生成方法一----直接生成服務(wù)器密鑰及待簽名證書
# 如果想以后讀取私鑰文件server_rsa_private.pem時不需要輸入密碼，亦即不對私鑰進(jìn)行加密存儲，那么將-passout pass:server替換成-nodes
openssl req -newkey rsa:2048 -passout pass:server -keyout server_rsa_private.pem -out server.csr -subj "/C=CN/ST=GD/L=SZ/O=COM/OU=NSP/CN=SERVER/emailAddress=youremail@qq.com"
# 服務(wù)器證書及密鑰生成方法二----分步生成服務(wù)器密鑰及待簽名證書
# openssl genrsa -aes256 -passout pass:server -out server_rsa_private.pem 2048
# openssl req -new -key server_rsa_private.pem -passin pass:server -out server.csr -subj "/C=CN/ST=GD/L=SZ/O=COM/OU=NSP/CN=SERVER/emailAddress=youremail@qq.com"
# 使用CA證書及密鑰對服務(wù)器證書進(jìn)行簽名：
openssl x509 -req -days 365 -in server.csr -CA ca.crt -CAkey ca_rsa_private.pem -passin pass:123456 -CAcreateserial -out server.crt
# 將加密的RSA密鑰轉(zhuǎn)成未加密的RSA密鑰，避免每次讀取都要求輸入解密密碼
# 密碼就是生成私鑰文件時設(shè)置的passout、讀取私鑰文件時要輸入的passin，比如這里要輸入“server”
openssl rsa -in server_rsa_private.pem -out server_rsa_private.pem.unsecure

# 客戶端證書及密鑰生成方法一----直接生成客戶端密鑰及待簽名證書
# 如果想以后讀取私鑰文件client_rsa_private.pem時不需要輸入密碼，亦即不對私鑰進(jìn)行加密存儲，那么將-passout pass:client替換成-nodes
openssl req -newkey rsa:2048 -passout pass:client -keyout client_rsa_private.pem -out client.csr -subj "/C=CN/ST=GD/L=SZ/O=COM/OU=NSP/CN=CLIENT/emailAddress=youremail@qq.com"
# 客戶端證書及密鑰生成方法二----分步生成客戶端密鑰及待簽名證書：
# openssl genrsa -aes256 -passout pass:client -out client_rsa_private.pem 2048
# openssl req -new -key client_rsa_private.pem -passin pass:client -out client.csr -subj "/C=CN/ST=GD/L=SZ/O=COM/OU=NSP/CN=CLIENT/emailAddress=youremail@qq.com"
# 使用CA證書及密鑰對客戶端證書進(jìn)行簽名：
openssl x509 -req -days 365 -in client.csr -CA ca.crt -CAkey ca_rsa_private.pem -passin pass:123456 -CAcreateserial -out client.crt
# 將加密的RSA密鑰轉(zhuǎn)成未加密的RSA密鑰，避免每次讀取都要求輸入解密密碼
# 密碼就是生成私鑰文件時設(shè)置的passout、讀取私鑰文件時要輸入的passin，比如這里要輸入“client”
openssl rsa -in client_rsa_private.pem -out client_rsa_private.pem.unsecure

2.5 開發(fā)環(huán)境配置

操作系統(tǒng)----kali-roaling。為了使用現(xiàn)在虛擬機(jī)而已，使用ubuntu、centos等等應(yīng)該都是沒差別的。

IDE----eclipse。直接在終端中編譯不通過沒深究，放eclipse編譯沒問題就直接使用eclipse。

2.5.1 在同一活動目錄下建了兩個project

myclient1----建src文件夾放客戶端代碼

myserver1----建src文件夾放服務(wù)端代碼

（其他目錄要么是自動生成的，要么是編譯后自動生成的，不用管；如果項(xiàng)目有報錯試試多重啟幾次eclipse甚操作系統(tǒng)）