在網(wǎng)絡(luò)上，信息在由源主機(jī)到目標(biāo)主機(jī)的傳輸過(guò)程中會(huì)經(jīng)過(guò)其他計(jì)算機(jī)。在一般情況下，中間的計(jì)算機(jī)不會(huì)監(jiān)聽(tīng)路過(guò)的信息。但在使用網(wǎng)上銀行或者進(jìn)行信用卡交易時(shí)，網(wǎng)絡(luò)上的信息有可能被非法分子監(jiān)聽(tīng)，從而導(dǎo)致個(gè)人隱私的泄露。由于Internet和Intranet體系結(jié)構(gòu)存在一些安全漏洞，總有某些人能夠截獲并替換用戶(hù)發(fā)出的原始信息。隨著電子商務(wù)的不斷發(fā)展，人們對(duì)信息安全的要求越來(lái)越高，于是Netscape公司提出了SSL協(xié)議，旨在達(dá)到在開(kāi)放網(wǎng)絡(luò)（Internet）上安全保密地傳輸信息的目的。

Java安全套接字?jǐn)U展（Java Secure Socket Extension，JSSE）為基于SSL和TLS協(xié)議的Java網(wǎng)絡(luò)應(yīng)用程序提供了Java API以及參考實(shí)現(xiàn)。JSSE支持?jǐn)?shù)據(jù)加密、服務(wù)器端身份驗(yàn)證、數(shù)據(jù)完整性以及可選的客戶(hù)端身份驗(yàn)證。使用JSSE，能保證采用各種應(yīng)用層協(xié)議（比如HTTP、Telnet和FTP等）的客戶(hù)程序與服務(wù)器程序安全地交換數(shù)據(jù)。

JSSE封裝了底層復(fù)雜的安全通信細(xì)節(jié)，使得開(kāi)發(fā)人員能方便地利用它來(lái)開(kāi)發(fā)安全的網(wǎng)絡(luò)應(yīng)用程序。

1、SSL簡(jiǎn)介

SSL（Secure Socket Layer，安全套接字層）是一種保證網(wǎng)絡(luò)上的兩個(gè)節(jié)點(diǎn)進(jìn)行安全通信的協(xié)議。IETF（Internet Engineering Task Force）國(guó)際組織對(duì)SSL作了標(biāo)準(zhǔn)化，制定了RFC2246規(guī)范，并將其稱(chēng)為傳輸層安全（Transport Layer Security，TLS）。從技術(shù)上，目前的TLS1.0與SSL3.0的差別非常微小。

如下表所示：

SSL和TLS都建立在TCP/IP的基礎(chǔ)上，一些應(yīng)用層協(xié)議，如HTTP和IMAP，都可以采用SSL來(lái)保證安全通信。建立在SSL協(xié)議上的HTTP被稱(chēng)為HTTPS協(xié)議。HTTP使用的默認(rèn)端口為80，而HTTPS使用的默認(rèn)端口為443。

用戶(hù)在網(wǎng)上商店購(gòu)物，當(dāng)他輸入信用卡信息，進(jìn)行網(wǎng)上支付交易時(shí)，存在以下不安全因素：

• 用戶(hù)的信用卡信息在網(wǎng)絡(luò)上傳輸時(shí)有可能被他人截獲。
• 用戶(hù)發(fā)送的信息在網(wǎng)絡(luò)上傳輸時(shí)可能被非法篡改，數(shù)據(jù)完整性被破壞。
• 用戶(hù)正在訪問(wèn)的Web站點(diǎn)有可能是個(gè)非法站點(diǎn)，專(zhuān)門(mén)從事網(wǎng)上欺詐活動(dòng)，比如騙取客戶(hù)的資金。

SSL采用加密技術(shù)來(lái)實(shí)現(xiàn)安全通信，保證通信數(shù)據(jù)的保密性和完整性，并且保證通信雙方可以驗(yàn)證對(duì)方的身份。

1.1、加密通信

當(dāng)客戶(hù)與服務(wù)器進(jìn)行通信時(shí)，通信數(shù)據(jù)有可能被網(wǎng)絡(luò)上的其他計(jì)算機(jī)非法監(jiān)聽(tīng)，SSL使用加密技術(shù)實(shí)現(xiàn)會(huì)話雙方信息的安全傳遞。加密技術(shù)的基本原理是：數(shù)據(jù)從一端發(fā)送到另一端時(shí)，發(fā)送者先對(duì)數(shù)據(jù)加密，然后把它發(fā)送給接收者。這樣，在網(wǎng)絡(luò)上傳輸?shù)氖墙?jīng)過(guò)加密的數(shù)據(jù)。如果有人在網(wǎng)絡(luò)上非法截獲了這批數(shù)據(jù)，由于沒(méi)有解密的密鑰，就無(wú)法獲得真正的原始數(shù)據(jù)。接收者接收到加密的數(shù)據(jù)后，先對(duì)數(shù)據(jù)解密，然后處理。下圖顯示了采用SSL的通信過(guò)程?？蛻?hù)和服務(wù)器的加密通信需要在兩端進(jìn)行處理。

1.2、安全證書(shū)

除了對(duì)數(shù)據(jù)加密通信，SSL還采用了身份認(rèn)證機(jī)制，確保通信雙方都可以驗(yàn)證對(duì)方的真實(shí)身份。它和現(xiàn)時(shí)生活中我們使用身份證來(lái)證明自己的身份很相似。比如你到銀行去取錢(qián)，你自稱(chēng)自己是張三，如何讓對(duì)方相信你的身份呢？最有效的辦法就是出示身份證。每人都擁有唯一的身份證，這個(gè)身份證上記錄了你的真實(shí)信息。身份證由國(guó)家權(quán)威機(jī)構(gòu)頒發(fā)，不允許偽造。在身份證不能被別人假冒復(fù)制的前提下，只要你出示身份證，就可以證明你自己的身份。

個(gè)人可以通過(guò)身份證來(lái)證明自己的身份，對(duì)于一個(gè)單位，比如商場(chǎng)，可以通過(guò)營(yíng)業(yè)執(zhí)照來(lái)證明身份。營(yíng)業(yè)執(zhí)照也由國(guó)家權(quán)威機(jī)構(gòu)頒發(fā)，不允許偽造，它保證了營(yíng)業(yè)執(zhí)照的可信性。

SSL通過(guò)安全證書(shū)來(lái)證明客戶(hù)或服務(wù)器的身份。當(dāng)客戶(hù)通過(guò)安全的連接和服務(wù)器通信時(shí)，服務(wù)器會(huì)先向客戶(hù)出示它的安全證書(shū)，這個(gè)證書(shū)聲明該服務(wù)器是安全的，而且的確是這個(gè)服務(wù)器。每一個(gè)證書(shū)在全世界范圍內(nèi)都是唯一的，其他非法服務(wù)器無(wú)法假冒原始服務(wù)器的身份?？梢园寻踩C書(shū)比作“電子身份證”。

對(duì)于單個(gè)客戶(hù)來(lái)說(shuō)，到公認(rèn)的權(quán)威機(jī)構(gòu)去獲取安全證書(shū)是一件麻煩的事。為了擴(kuò)大客戶(hù)群并且便于客戶(hù)的訪問(wèn)，許多服務(wù)器不要求客戶(hù)出示安全證書(shū)。在某些情況下，服務(wù)器也會(huì)要求客戶(hù)出示安全證書(shū)，以便核實(shí)該客戶(hù)的身份，這主要是在B2B（Business to Business）事務(wù)中。

獲取安全證書(shū)有兩種方式，一種方式是從權(quán)威機(jī)構(gòu)獲得證書(shū)，還有一種方式是創(chuàng)建自我簽名證書(shū)。

1.從權(quán)威機(jī)構(gòu)獲得證書(shū)

安全證書(shū)可以有效地保證通信雙方的身份的可信性。安全證書(shū)采用加密技術(shù)制作而成，他人幾乎無(wú)法偽造。安全證書(shū)由國(guó)際權(quán)威的證書(shū)機(jī)構(gòu)（Certificate Authority，CA）如GlobalSign和WoSign頒發(fā)，它們保證了證書(shū)的可信性。申請(qǐng)安全證書(shū)時(shí)，必須支付一定的費(fèi)用。一個(gè)安全證書(shū)只對(duì)一個(gè)IP地址有效，如果用戶(hù)的系統(tǒng)環(huán)境中有多個(gè)IP地址，就必須為每個(gè)IP地址都購(gòu)買(mǎi)安全證書(shū)。

2.創(chuàng)建自我簽名證書(shū)

在某些場(chǎng)合，通信雙方只關(guān)心數(shù)據(jù)在網(wǎng)絡(luò)上可以被安全傳輸，并不需要對(duì)方進(jìn)行身份驗(yàn)證，在這種情況下，可以創(chuàng)建自我簽名（self-assign）的證書(shū)，比如通過(guò)JDK提供的keytool工具就可以創(chuàng)建這樣的證書(shū)。這樣的證書(shū)就像用戶(hù)自己制作的名片，缺乏權(quán)威性，達(dá)不到身份認(rèn)證的目的。當(dāng)你向?qū)Ψ竭f交名片時(shí)，名片上聲稱(chēng)你是某個(gè)大公司的老總，信不信只能由對(duì)方自己去判斷。

既然自我簽名證書(shū)不能有效地證明自己的身份，那么有何意義呢？在技術(shù)上，無(wú)論是從權(quán)威機(jī)構(gòu)獲得的證書(shū)，還是自己制作的證書(shū)，采用的加密技術(shù)都是一樣的，使用這些證書(shū)，都可以實(shí)現(xiàn)安全地加密通信。

1.3、SSL握手

安全證書(shū)既包含了用于加密數(shù)據(jù)的密鑰，又包含了用于證實(shí)身份的數(shù)字簽名。安全證書(shū)采用公鑰加密技術(shù)。公鑰加密指使用一對(duì)非對(duì)稱(chēng)的密鑰進(jìn)行加密或解密。每一對(duì)密鑰由公鑰和私鑰組成。公鑰被廣泛發(fā)布。私鑰是隱密的，不公開(kāi)。用公鑰加密的數(shù)據(jù)只能夠被私鑰解密。反過(guò)來(lái)，使用私鑰加密的數(shù)據(jù)只能被公鑰解密。這個(gè)非對(duì)稱(chēng)的特性使得公鑰加密很有用。

在安全證書(shū)中包含了這一對(duì)非對(duì)稱(chēng)的密鑰。只有安全證書(shū)的所有者才知道私鑰。如下圖所示：

安全證書(shū)中的數(shù)字簽名部分則是通信方A的電子身份證。數(shù)字簽名告訴通信方B該信息確實(shí)由通信方A發(fā)出，不是偽造的，也沒(méi)有被篡改。

客戶(hù)與服務(wù)器通信時(shí)，首先要進(jìn)行SSL握手，SSL握手主要完成以下任務(wù)：

• 協(xié)商使用的加密套件。加密套件中包括一組加密參數(shù)，這些參數(shù)指定了加密算法和密鑰的長(zhǎng)度等信息。
• 驗(yàn)證對(duì)方的身份。此操作是可選的。
• 確定使用的加密算法。

SSL握手過(guò)程采用非對(duì)稱(chēng)加密方法傳遞數(shù)據(jù)，由此來(lái)建立一個(gè)安全的會(huì)話。SSL握手完成后，通信雙方將采用對(duì)稱(chēng)加密方法傳遞實(shí)際的應(yīng)用數(shù)據(jù)。所謂對(duì)稱(chēng)加密，指通信雙方使用同樣的密鑰來(lái)加密數(shù)據(jù)：

以下是SSL握手的具體流程：

• （1）客戶(hù)將自己的SSL版本號(hào)、加密參數(shù)、與會(huì)話有關(guān)的數(shù)據(jù)以及其他一些必要信息發(fā)送到服務(wù)器。
• （2）服務(wù)器將自己的SSL版本號(hào)、加密參數(shù)、與會(huì)話有關(guān)的數(shù)據(jù)以及其他一些必要信息發(fā)送給客戶(hù)，同時(shí)發(fā)送給客戶(hù)的還有服務(wù)器的證書(shū)。如果服務(wù)器需要驗(yàn)證客戶(hù)身份，那么服務(wù)器還會(huì)發(fā)出要求客戶(hù)提供安全證書(shū)的請(qǐng)求。
• （3）客戶(hù)端驗(yàn)證服務(wù)器證書(shū)，如果驗(yàn)證失敗，就提示不能建立SSL連接。如果成功，就繼續(xù)下一步驟。
• （4）客戶(hù)端為本次會(huì)話生成預(yù)備主密碼（pre-master secret），并將其用服務(wù)器公鑰加密后發(fā)送給服務(wù)器。
• （5）如果服務(wù)器要求驗(yàn)證客戶(hù)身份，那么客戶(hù)端還要再對(duì)另外一些數(shù)據(jù)簽名后，將其與客戶(hù)端證書(shū)一起發(fā)送給服務(wù)器。
• （6）如果服務(wù)器要求驗(yàn)證客戶(hù)身份，則檢查簽署客戶(hù)證書(shū)的CA是否可信。如果不在信任列表中，則結(jié)束本次會(huì)話。如果檢查通過(guò)，那么服務(wù)器用自己的私鑰解密收到的預(yù)備主密碼，并用它通過(guò)某些算法生成本次會(huì)話的主密碼（master secret）。
• （7）客戶(hù)端與服務(wù)器均使用此主密碼生成本次會(huì)話的會(huì)話密鑰（對(duì)稱(chēng)密鑰）。在雙方SSL握手結(jié)束后傳遞任何消息均使用此會(huì)話密鑰。這樣做的主要原因是對(duì)稱(chēng)加密比非對(duì)稱(chēng)加密的運(yùn)算量低一個(gè)數(shù)量級(jí)以上，能夠顯著提高雙方會(huì)話時(shí)的運(yùn)算速度。
• （8）客戶(hù)端通知服務(wù)器此后發(fā)送的消息都使用這個(gè)會(huì)話密鑰進(jìn)行加密，并通知服務(wù)器客戶(hù)端已經(jīng)完成本次SSL握手。
• （9）服務(wù)器通知客戶(hù)端此后發(fā)送的消息都使用這個(gè)會(huì)話密鑰進(jìn)行加密，并通知客戶(hù)端服務(wù)器已經(jīng)完成本次SSL握手。
• （10）本次握手過(guò)程結(jié)束，會(huì)話已經(jīng)建立。在接下來(lái)的會(huì)話過(guò)程中，雙方使用同一個(gè)會(huì)話密鑰分別對(duì)發(fā)送以及接收的信息進(jìn)行加密和解密。

1.4、創(chuàng)建自我簽名的安全證書(shū)

獲得安全證書(shū)有兩種方式：一種方式是到權(quán)威機(jī)構(gòu)購(gòu)買(mǎi)，還有一種方式是創(chuàng)建自我簽名的證書(shū)，本節(jié)將介紹后一種方式。

JDK提供了制作證書(shū)的工具keytool。在JDK1.4以上版本中包含了這一工具，它的位置為：<JDK根目錄>\bin\keytool.exe。

keytool工具提出了密鑰庫(kù)的概念。密鑰庫(kù)中可以包含多個(gè)條目。每個(gè)條目包括一個(gè)自我簽名的安全證書(shū)以及一對(duì)非對(duì)稱(chēng)密鑰。

通過(guò)keytool工具創(chuàng)建密鑰庫(kù)的命令為：

以上命令將生成一個(gè)密鑰庫(kù)，這個(gè)密鑰庫(kù)中有一個(gè)條目。這個(gè)命令中的參數(shù)的意思如下：

• -genkeypair：生成一對(duì)非對(duì)稱(chēng)密鑰。
• -alias：指定條目以及密鑰對(duì)的別名，該別名是公開(kāi)的。
• -keyalg：指定加密算法，本例中采用通用的RSA算法。
• -keystore：設(shè)定密鑰庫(kù)文件的存放路徑以及文件名字。

該命令的運(yùn)行過(guò)程如下圖所示：

首先會(huì)提示輸入密鑰庫(kù)的密碼（口令），假定輸入“123456”，然后提示輸入個(gè)人信息，如姓名、組織單位和所在城市等，只要輸入真實(shí)信息即可。接著會(huì)提示輸入信息是否正確，輸入“y”表示信息正確。

以上命令將在操作系統(tǒng)的C:\chapter15目錄下生成名為“test.keystore”的文件，它是一個(gè)密鑰庫(kù)文件，已經(jīng)包含一個(gè)條目，這個(gè)條目的別名是“weiqin”，該條目具有一對(duì)非對(duì)稱(chēng)密鑰和自我簽名的安全證書(shū)。

以下命令在test.keystore密鑰庫(kù)中再加入一個(gè)名為“l(fā)ulu”的條目：

以下命令查看test.keystore密鑰庫(kù)的信息，會(huì)列出所包含的條目的信息：

以上命令的輸出結(jié)果如下：

從以上輸出結(jié)果可以看出，test.keystore密鑰庫(kù)中包含兩個(gè)條目，別名分別為“weiqin”和“l(fā)ulu”。

以下命令把test.keystore密鑰庫(kù)中別名為“weiqin”的條目導(dǎo)出到一個(gè)安全證書(shū)文件中，文件名為weiqin.crt：

以上命令將在C:\chapter15目錄下生成一個(gè)安全證書(shū)文件weiqin.crt。在weiqin.crt文件中包含了自我簽名的安全證書(shū)，以及密鑰對(duì)中的公鑰，但不包含密鑰對(duì)中的私鑰。

以下命令刪除test.keystore密鑰庫(kù)中的別名為“weiqin”的條目：

以下命令把weiqin.crt安全證書(shū)導(dǎo)入testTrust.keystore密鑰庫(kù)中，生成別名為“weiqin”的條目，這個(gè)條目中包含密鑰對(duì)中的公鑰，但不包含密鑰對(duì)中的私鑰：

2、JSSE簡(jiǎn)介

JSSE封裝了底層復(fù)雜的安全通信細(xì)節(jié)，使得開(kāi)發(fā)人員能方便地用它來(lái)開(kāi)發(fā)安全的網(wǎng)絡(luò)應(yīng)用程序。JSSE主要包括4個(gè)包：

• javax.net.ssl包：包括進(jìn)行安全通信的類(lèi)，比如SSLServerSocket和SSLSocket類(lèi)。
• javax.net包：包括安全套接字的工廠類(lèi)，比如SSLServerSocketFactory和SSLSocket Factory類(lèi)。
• java.security.cert包：包括處理安全證書(shū)的類(lèi)，如X509Certificate類(lèi)。X.509是由國(guó)際電信聯(lián)盟（ITU-T）制定的安全證書(shū)的標(biāo)準(zhǔn)。
• com.sun.net.ssl包：包括Oracle公司提供的JSSE的實(shí)現(xiàn)類(lèi)。

JSSE API允許采用第三方提供的實(shí)現(xiàn)，該實(shí)現(xiàn)可作為插件集成到JSSE中。這些插件必須支持Oracle公司指定的加密套件，在Oracle官網(wǎng)上指定了這些加密套件，以下是其中的部分內(nèi)容：

• SSL_DHE_DSS_EXPORT_WITH_DES_40_CBC_SHA
• SSL_DHE_DSS_WITH_3DES_EDE_CBC_SHA
• SSL_DHE_RSA_EXPORT_WITH_DES40_CBC_SHA
• SSL_DHE_RSA_EXPORT_WITH_DES_40_CBC_SHA
• SSL_DH_ANON_EXPORT_WITH_DES40_CBC_SHA
• SSL_DH_RSA_WITH_3DES_EDE_CBC_SHA
• SSL_RSA_EXPORT_WITH_DES40_CBC_SHA
• SSL_RSA_FIPS_WITH_3DES_EDE_CBC_SHA
• TLS_DHE_DSS_WITH_AES_128_CBC_SHA
• TLS_DHE_RSA_WITH_AES_128_CBC_SHA
• TLS_DH_ANON_WITH_AES_128_CBC_SHA
• TLS_DH_ANON_WITH_AES_256_CBC_SHA
• TLS_DH_DSS_WITH_AES_128_CBC_SHA
• SSL_CK_RC4_128_WITH_MD5

加密套件包括一組加密參數(shù)，這些參數(shù)指定了加密算法和密鑰的長(zhǎng)度等信息。以上列出的加密套件的名字包括4個(gè)部分：協(xié)議、密鑰交換算法、加密算法和校驗(yàn)和。例如加密套件SSL_DHE_RSA_EXPORT_WITH_DES40_CBC_SHA表示采用SSL協(xié)議，密鑰交換算法為DHE，加密算法為RSA。

JSSE具有以下重要特征：

• 純粹用Java語(yǔ)言編寫(xiě)?！た梢猿隹诘酱蠖鄶?shù)國(guó)家。
• 提供了支持SSL的JSSE API和JSSE實(shí)現(xiàn)。
• 提供了支持TLS的JSSE API和JSSE實(shí)現(xiàn)。
• 提供了用于創(chuàng)建安全連接的類(lèi)，如SSLSocket、SSLServerSocket和SSLEngine?！ぶС旨用芡ㄐ拧！ぶС挚蛻?hù)端和服務(wù)器端的身份驗(yàn)證。
• 支持SSL會(huì)話?！SSE的具體實(shí)現(xiàn)會(huì)支持一些常用的加密算法，比如RSA（加密長(zhǎng)度2048位）、RC4（密鑰長(zhǎng)度128位）和DH（密鑰長(zhǎng)度1024位）。

3、總結(jié)

Java安全套接字?jǐn)U展（JSSE）為基于SSL和TLS協(xié)議的Java網(wǎng)絡(luò)應(yīng)用程序提供了Java API以及參考實(shí)現(xiàn)。JSSE支持?jǐn)?shù)據(jù)加密、服務(wù)器端身份驗(yàn)證、數(shù)據(jù)完整性以及可選的客戶(hù)端身份驗(yàn)證。使用JSSE，能保證采用各種應(yīng)用層協(xié)議（比如HTTP、Telnet和FTP等）的客戶(hù)程序與服務(wù)器程序安全地交換數(shù)據(jù)。

JSSE封裝了底層復(fù)雜的安全通信細(xì)節(jié)，使得開(kāi)發(fā)人員能方便地利用它來(lái)開(kāi)發(fā)安全的網(wǎng)絡(luò)應(yīng)用程序。JSSE中負(fù)責(zé)安全通信的最核心的類(lèi)是SSLServerSocket類(lèi)與SSLSocket類(lèi)，它們分別是ServerSocket與Socket類(lèi)的子類(lèi)。SSLSocket對(duì)象由SSLSocketFactory創(chuàng)建，此外，SSLServerSocket的accept()方法也會(huì)創(chuàng)建SSLSocket對(duì)象。SSLServerSocket對(duì)象由SSLServerSocketFactory創(chuàng)建。SSLSocketFactory和SSLServerSocketFactory對(duì)象都由SSLContext對(duì)象創(chuàng)建。SSLContext負(fù)責(zé)為SSLSocket和SSLSocketFactory設(shè)置安全參數(shù)，比如使用的安全協(xié)議、安全證書(shū)、KeyManager、TrustManager和安全隨機(jī)數(shù)等。