具有自定义CA的客户机服务器TLS
我写了一个小的测试程序来创建
- 自定义自签名CA证书#1
- 创建由该CA根证书#1颁发的服务器证书#2
- 创建具有证书#2的服务器
- 创建一个RootCA指向证书1的客户端
- 客户端尝试连接到服务器，但出现错误：
得到“https://localhost:2000：x509:由未知颁发机构签署的证书（可能是因为尝试验证候选颁发机构证书“测试ca”时“x509:Ed25519验证失败”）
我知道这方面的例子有很多。我以为我跟在他们后面很近，但我现在在这里。我在这里只展示了最相关的结构，但可以在这里找到该计划的全文：
...
templateCA := &x509.Certificate{
Subject: pkix.Name{
CommonName: "test-ca",
Organization: []string{"test ca"},
Country: []string{"USA"},
Province: []string{"NY"},
Locality: []string{"New York City"},
},
SerialNumber: serialNumber,
NotBefore: time.Now(),
NotAfter: time.Now().AddDate(0, 0, 1),
BasicConstraintsValid: true,
IsCA: true,
SubjectKeyId: caSubjectKeyID[:],
DNSNames: []string{"test-ca"},
KeyUsage: x509.KeyUsageCertSign
}
...
certBytes, _ := x509.CreateCertificate(rand.Reader, templateCA, templateCA, privKey.Public(), privKey)
...
templateServer := &x509.Certificate{
Subject: pkix.Name{
CommonName: "localhost",
Organization: []string{"Server"},
Country: []string{"USA"},
Province: []string{"NY"},
Locality: []string{"New York City"},
},
SerialNumber: serialNumber,
NotBefore: time.Now(),
NotAfter: time.Now().AddDate(0, 0, 1),
BasicConstraintsValid: true,
SubjectKeyId: servSubjectKeyID[:],
AuthorityKeyId: caSubjectKeyID[:],
DNSNames: []string{"localhost"},
IPAddresses: []net.IP{{127, 0, 0, 1}},
KeyUsage: x509.KeyUsageDigitalSignature | x509.KeyUsageKeyEncipherment,
ExtKeyUsage: []x509.ExtKeyUsage{x509.ExtKeyUsageServerAuth},
}
...
certBytes, _ = x509.CreateCertificate(rand.Reader, templateServer, caCert, privKey.Public(), privKey)
...
var (
tlsMinVersion = uint16(tls.VersionTLS12)
tlsMaxVersion = uint16(tls.VersionTLS13)
cipherSuites = []uint16{
tls.TLS_ECDHE_ECDSA_WITH_AES_256_GCM_SHA384,
tls.TLS_ECDHE_RSA_WITH_AES_256_GCM_SHA384,
tls.TLS_ECDHE_ECDSA_WITH_CHACHA20_POLY1305_SHA256,
tls.TLS_ECDHE_RSA_WITH_CHACHA20_POLY1305_SHA256,
tls.TLS_ECDHE_ECDSA_WITH_AES_128_GCM_SHA256,
tls.TLS_ECDHE_RSA_WITH_AES_128_GCM_SHA256,
}
curvePreferences = []tls.CurveID{
tls.X25519,
tls.CurveP256,
tls.CurveP384,
tls.CurveP521,
}
)
...
tlsServerConfig := &tls.Config{
Certificates: []tls.Certificate{*tlsSrvCert},
MinVersion: tlsMinVersion,
MaxVersion: tlsMaxVersion,
CurvePreferences: curvePreferences,
CipherSuites: cipherSuites,
PreferServerCipherSuites: true,
}
...
tlsClientConfig := &tls.Config{
ServerName: "localhost",
RootCAs: x509.NewCertPool(),
MinVersion: tlsMinVersion,
MaxVersion: tlsMaxVersion,
CurvePreferences: curvePreferences,
CipherSuites: cipherSuites,
PreferServerCipherSuites: true,
}
tlsClientConfig.RootCAs.AddCert(caCert)
我错过了什么或者做错了什么？
共有2个答案
感谢@djoudat指出我的错误。我将上面更正的代码片段粘贴到这里。希望有一天他们能帮助别人。
...
templateCA := &x509.Certificate{
Subject: pkix.Name{
CommonName: "test-ca",
Organization: []string{"test ca"},
Country: []string{"USA"},
Province: []string{"NY"},
Locality: []string{"New York City"},
},
SerialNumber: serialNumber,
NotBefore: time.Now(),
NotAfter: time.Now().AddDate(0, 0, 1),
BasicConstraintsValid: true,
IsCA: true,
KeyUsage: x509.KeyUsageCertSign
DNSNames: []string{"test-ca"},
}
...
certBytes, _ := x509.CreateCertificate(rand.Reader, templateCA, templateCA, privKeyCA.Public(), privKeyCA)
...
templateServer := &x509.Certificate{
Subject: pkix.Name{
CommonName: "localhost",
Organization: []string{"Server"},
Country: []string{"USA"},
Province: []string{"NY"},
Locality: []string{"New York City"},
},
SerialNumber: serialNumber,
NotBefore: time.Now(),
NotAfter: time.Now().AddDate(0, 0, 1),
BasicConstraintsValid: true,
KeyUsage: x509.KeyUsageDigitalSignature | x509.KeyUsageKeyEncipherment,
ExtKeyUsage: []x509.ExtKeyUsage{x509.ExtKeyUsageServerAuth},
DNSNames: []string{"localhost"},
}
...
certBytes, _ = x509.CreateCertificate(rand.Reader, templateServer, caCert, privKeyServer.Public(), privKeyCA)
...
var (
tlsMinVersion = uint16(tls.VersionTLS12)
tlsMaxVersion = uint16(tls.VersionTLS13)
cipherSuites = []uint16{
tls.TLS_ECDHE_ECDSA_WITH_AES_256_GCM_SHA384,
tls.TLS_ECDHE_RSA_WITH_AES_256_GCM_SHA384,
tls.TLS_ECDHE_ECDSA_WITH_CHACHA20_POLY1305_SHA256,
tls.TLS_ECDHE_RSA_WITH_CHACHA20_POLY1305_SHA256,
tls.TLS_ECDHE_ECDSA_WITH_AES_128_GCM_SHA256,
tls.TLS_ECDHE_RSA_WITH_AES_128_GCM_SHA256,
}
curvePreferences = []tls.CurveID{
tls.X25519,
tls.CurveP256,
tls.CurveP384,
tls.CurveP521,
}
)
...
tlsServerConfig := &tls.Config{
Certificates: []tls.Certificate{*tlsSrvCert},
MinVersion: tlsMinVersion,
MaxVersion: tlsMaxVersion,
CurvePreferences: curvePreferences,
CipherSuites: cipherSuites,
PreferServerCipherSuites: true,
}
...
tlsClientConfig := &tls.Config{
ServerName: "localhost",
RootCAs: x509.NewCertPool(),
MinVersion: tlsMinVersion,
MaxVersion: tlsMaxVersion,
CurvePreferences: curvePreferences,
CipherSuites: cipherSuites,
PreferServerCipherSuites: true,
}
tlsClientConfig.RootCAs.AddCert(caCert)
您可以使用私钥解密数据和加密散列数据来创建数字签名。
您可以使用公钥加密数据并解密数字签名来验证它。
这里需要做的是使用一个密钥对（公钥/私钥）生成CA证书，并使用该证书和同一密钥对为您的服务器生成一个或多个证书。
如果您想使用浏览器/curl作为客户端，则需要在根密钥库中添加CA证书。
-
我在做一个客户端/服务器应用程序。目前它的功能很好，但我需要添加一个“选项”。 server类如下所示： 因此许多客户端都能够连接到服务器。我的观点是：我希望一个连接的客户机（比如说，Client1)能够向他选择的另一个连接的客户机(Client2)发送一些东西。 我的问题是：Client1如何找到/拥有/检索Client2的套接字，因为所有的Client1都通过这个clientSocket在不同
-
我需要创建web服务客户端，这家提供服务的公司向我们发送wsdl文件。我有wsdl文件、用户名和密码、服务url和txt文件，其中包含一些密钥，比如“20A9 38 4e 82 3a 94 d1…”。服务器有自签名证书，我试图通过InstallCert获取证书。java，使用keytool等生成密钥库。当我使用axis2 wsdl2java从wsdl生成客户端时，它会生成客户端，但在生成过程结束时
-
我在Java开发了一个客户端-服务器游戏（称为“Set”）。 在调试过程中遇到了一个非常尴尬的问题: 如果在同一台机器上同时运行客户端和服务器（客户端连接到localhost）,这个游戏工作得很棒（如果我运行服务器和大量客户端的话也是如此）。 但是，如果我在两台不同的机器上运行客户端和服务器，那么客户端和服务器都挂起了Inputstream readLine方法。 我会提到我正在使用writeBy
-
这是一个既试图为我的特定用例找到解决方案，又试图记录我为遵循此过程的任何其他人所做的努力的问题。 我们有一个RESTful服务器和一个iOS应用程序。我们有自己的证书颁发机构，服务器有一个根证书颁发机构和一个自签名证书。我们按照此过程生成以下文件： http://datacenteroverlords.com/2012/03/01/creating-your-own-ssl-certificate
-
编辑2：我切换到，并用包装客户端工厂，这样设备就可以很好地到达后端。但是当后端发回一些东西时，我会得到错误的出站套接字，客户机套接字死亡。我认为这是因为后端没有正确路由消息所必需的头。如何捕获此信息？我的配置类如下：
-
身份验证和授权工作正常。但是在成功登录后，它不会将我重定向到客户端，而是进一步打开一些.js文件的源代码。而上一个（没有自定义登录表单loginPage（“/login”））它成功地将我重定向到最后一个单击的页面（客户端），该页面需要进行身份验证。 我的服务器端代码如下: 授权服务器 资源服务器 我的安全配置