Android开发之基于Netty的TCP连接中使用SSL加密

1 Introduction

数据安全在网络通信中是非常重要的一个方面。为了支持 SSL/TLS，Java 提供了 javax.net.ssl包下的类SslContext 和 SslEngine 。在Netty框架下，I/O数据在ChannelPipeline中被管道中的ChannelHandler处理并转发给下一个ChannelHandler。自然而然地，Netty也提供了ChannelHandler的实现SslHandler来支持SSL, 有一个内部 SslEngine 做实际的工作。

2 Steps

首先看看SslHandler的构造函数：

  public SslHandler(SSLEngine engine) {
        this(engine, false);
    }

    public SslHandler(SSLEngine engine, boolean startTls) {
        this(engine, startTls, ImmediateExecutor.INSTANCE);
    }

不难发现，我们需要一个SSLEngine对象来构建SslHandler。根据资料可以知道，需要根据已初始化的 SSLContext 来调用 SSLContext.createSSLEngine() 即可创建 SSLEngine。
所以基于Netty框架的在TCP连接中使用SSL/TLS加密的流程如下：

1. 在代码中导入证书，并使用该证书构造SSLContext
2. 调用SSLContext对象的createSSLEngine()创建 SSLEngine
3. 用SSLEngine对象去初始化Netty的SslHandler
4. 在Netty的ChannelInitializer.initChannel()中，往管道(pipeline)中安装SslHandler。

3 Usage

3.1 导入证书

public SSLContext getClientSSLContext(){
  KeyStore trustKeyStore= KeyStore.getInstance("JKS");// 访问Java密钥库，JKS是keytool创建的Java密钥库
  InputStream keyStream = MyApplication.getAppContext().getAssets().open("key.jks");//打开证书文件（.jks格式）
  char keyStorePass[]="12345678".toCharArray();  //证书密码
  keyStore .load(trustKeyStore,keyStorePass);


  TrustManagerFactory trustManagerFactory =   TrustManagerFactory.getInstance(TrustManagerFactory.getDefaultAlgorithm());
trustManagerFactory.init(keyStore );//保存服务端的授权证书

SSLContext   clientContext = SSLContext.getInstance( "TLS");
  clientContext.init(null, trustManagerFactory.getTrustManagers(), null);

  return clientContext;
}

在上述代码，只是实现了client采用trustKeyStore中的key.jks证书（包含了server的公钥）对数据解密，如果解密成功，证明消息来自server，进行逻辑处理。
仅仅是server->client单向的SSL认证。
如果要实现server和client之间双向的身份认证，需要模仿trustManagerFactory的初始化来构建一个KeyManagerFactory来其中保存客户端的私钥，并传入

clientContext.init(kmf.getKeyManagers(), trustManagerFactory.getTrustManagers(), null);

具体参照 SSL双向认证java实现

3.2 添加 SslHandler

ChannelHandler在应该初始化（ChannelInitializer.initChannel()被调用时）阶段被安装在ChannelPipeline中。

Bootstrap的介绍参考Android开发之使用Netty进行Socket编程（二）
Boostrap的初始化参考Android开发之使用Netty进行Socket编程（三）

  bootstrap.handler(new ChannelInitializer() {
            @Override
            protected void initChannel(SocketChannel ch) throws Exception {
                ChannelPipeline pipeline = ch.pipeline();
                SSLEngine engine = getClientSSLContext().createSSLEngine();
                engine.setUseClientMode(true);
                pipeline.addFirst("ssl", new SslHandler(engine));
                
                //....再添加其他的ChannelHandler
                pipeline.addLast(nettyChannelHandler);
            }
        });

在大多数情况下,SslHandler 将成为 ChannelPipeline 中的第一个 ChannelHandler，所以调用了pipeline.addFirst() 。这将确保所有其他 ChannelHandler 应用他们的逻辑到数据后加密后才发生,从而确保他们的变化是安全的。

Relative

1. essential netty in action--使用 SSL/TLS 加密 Netty 程序