使用运行时 Android/Java 可用的客户端证书进行 TLS/SSL 客户端身份验证

Question

假设我有一个应用程序，它以某种方式在运行时通过安全通道检索客户端证书（私钥/公钥对）（因此我在构建时没有此客户端证书）。

如何使用此客户端证书进行客户端身份验证，而不使用 keytool 且不使用持久/磁盘密钥库上的某些证书​​。所以我不想（实际上我不能）使用命令行 keytool 导入它？

实际上我想复制 libcurl 中完成的功能。您只需设置客户端证书（带有私钥）即可完成。它不涉及密钥库。

这一切都必须在 Java/Android 中完成。

Answer 1

我刚刚开始工作，我认为您不会对我的答案感到非常满意，但它确实有效:)

因此，困难的部分是获得执行客户端身份验证所需的 pkcs12 证书，如果您的证书已经在 pkcs12 中，那么您已经解决了所有困难，您可以参考 Android 中的 SSL 客户端身份验证 以了解如何使用该证书。

如果您只有一对公钥而没有 pkcs12 证书，那么您需要制作一个。据我所知，java/android 中无法创建此证书，因此您需要使用 android NDK 和 openssl。

如果您从 https://github.com/guardianproject/openssl-android 你可以用它来构建 openssl。默认情况下，它编译为 .so 共享对象，但只有我尝试运行此代码的一些 Android 设备能够链接到 libcrypto，因此，尽管我确信有更好的方法，但我进入了 Android.mk 文件并在一些地方将 include $(BUILD_SHARED_LIBRARY) 替换为 include $(BUILD_STATIC_LIBRARY) ，以便我可以编译 .a 静态库。

然后我使用了 Android NDK: Link using a pre- 中的信息编译静态库以将我编译的 libcrypto.a 链接到我的本机代码。

此本机代码使用 openssl 首先创建 X509 证书，然后使用它创建 PKCS12 文件，该文件可以按照我之前提到的方式使用，位于 Android 中的 SSL 客户端身份验证

首先，您需要将公钥和私钥作为 EVP_PKEY 指针放入本地，这可以通过多种方式进行，基于根据您的密钥的格式，您可以使用以下代码创建 X509 证书

X509 *public_key_cert = X509_new();

X509_gmtime_adj(X509_get_notBefore(public_key_cert),0);
X509_gmtime_adj(X509_get_notAfter(public_key_cert), (long) 60*60*24*365);

X509_set_pubkey(public_key_cert,evp_pub_key);

这将创建最低限度有效的 X509 证书，有效期为 1 年。如果您要运行自己的证书颁发机构，您可能需要执行其他操作，例如签署证书，或者设置包含各种信息的大量标头中的任何一个。

接下来，您需要使用 X509 证书创建 pkcs12 证书，如下所示：

PKCS12 *pkcs12 = PKCS12_create(password, "Some Sort of Friendly Name", evp_priv_key, public_key_cert, NULL, 0, 0, 0, 0, 0);

密码是一个 char*，其中包含将用于使用三重 DES 加密私钥的密码

现在您已经有了 pkcs12 证书，您可以转到 Android 中的 SSL 客户端身份验证 并进行客户端身份验证。

祝你好运！

Answer 2

您可以在 Java 中通过定义自己的 KeyManager 来完成此操作，如 JSSE 参考指南。我无法为 Android 发言。