Java：TCP 加密、SSL 和 Netty

Question

好的，我有一个对等（一台主机上的客户端/服务器）设置（通过本地 LAN），这是使用 Netty，一个 Java 网络框架。我使用原始 TCP/IP（例如，没有 HTTP）进行通信和传输。

目前，所有数据都以“纯文本”传输，我正在开始保护此类传输数据的过程。

我已经很好地阅读了加密/实践等类型（但可能只触及了表面，它已经融化了我的大脑）

Netty 包含一个 SSL 实现，这里有一些链接，希望能更好地解释我自己：

http://docs.jboss.org/netty/3.2/xref/org/jboss/netty/example/securechat/package-summary.html

在“SecureChatTrustManagerFactory”内部有两种方法：

          public void checkClientTrusted(
                  X509Certificate[] chain, String authType) throws CertificateException {
              // Always trust - it is an example.
              // You should do something in the real world.
              // You will reach here only if you enabled client certificate auth,
              // as described in SecureChatSslContextFactory.
              System.err.println(
                      "UNKNOWN CLIENT CERTIFICATE: " + chain[0].getSubjectDN());
          }

          public void checkServerTrusted(
                 X509Certificate[] chain, String authType) throws CertificateException {
             // Always trust - it is an example.
              // You should do something in the real world.
              System.err.println(
                      "UNKNOWN SERVER CERTIFICATE: " + chain[0].getSubjectDN());
          }

据我所知，“SecureChatKeyStore”包含一个硬编码证书。

所以我的问题是：

• 我需要生成证书吗？
• 如果是这样，每次运行应用程序时？
• 如果是这样，每个客户？
• 如果是的话，这个认证是在客户端和服务器之间传递的吗？
• 如果是这样，如何安全地完成？

我不完全确定从哪里开始。 据我所知，Netty 实现是在说“这是创建安全连接的基础，但我们遗漏了真正使它们安全/经过身份验证的部分”。

我还应该了解其他任何指示/提示吗？

先感谢您。

Answer 1

正如其他人指出的那样，应用程序安全性和传输链路安全性之间存在差异。我认为您的目标是最后一个，因为您主要提到加密。加密可防止窃听者的机密性。此外，由于 SSL 还包含消息身份验证代码，因此它还将提供对第三方在传输过程中更改数据包的保护。一旦收到消息，它就不提供任何保护。

正如您可能已经在互联网上注意到的 HTTPS 连接，您至少需要一个服务器证书。该证书可以保持静态，但它应该包含一个到期日期，到时您应该更换该证书。服务器证书应该受到客户端的信任（例如，通过将其嵌入为资源）。您还可以使用 SSL 进行客户端身份验证，但这意味着您需要有足够的安全措施来保证客户端上私钥的安全。

最好只从“自签名”服务器证书开始。这就是您需要在 checkServerTrusted 方法中信任的方法。基本上，该链就是一个证书。