使用 SpongyCastle 的 PKCS#10 客户端证书创建 Https 连接

The goal

我正在努力实现与客户端证书的通信。

步骤 1：创建 PKCS#10 请求 (CSR) 并将其交给我的服务器进行签名。服务器联系人将 CSR 传递给 CA，CA 对其进行签名，并返回 PKCS#7（带有签名的 PKCS#10 和 CA 的证书）。

步骤 2：创建 PKCS#12，将其安全地存储在 Android 设备上

步骤3：创建SSL连接，以便根据证书对客户端进行身份验证。

现在，第 1 步可以使用 SpongyCastle 1.50.0.0 完美运行，但我陷入了其他步骤...... 我目前遇到了 SSL 握手异常，但我感觉我应该重新考虑我的实现。

问题

有谁知道如何实施流程？如何创建和存储客户端证书与 Android 的 SSLContext 良好配合所需的任何内容，以及如何创建这样的 SSLContext？

到目前为止我尝试过的

我的第一次尝试是使用KeyChain，但我们希望避免此处描述的用户交互。我的第二次尝试是遵循里奇·弗里德曼的脚步，但我不知道如何从 PKCS#7 和私钥创建 PKCS#12。为了坚持，我去了这个帖子，但是 (a) 它是 C#，(b) 它未加密，(c) 我认为 android 平台有更好的密钥持久机制，但我对此一无所知。最后，这段代码（用于从 PEM 和 PKCS#7 创建 PKCS12）效果不佳，因为我不知道如何获取 CER 文件及其所需的其他内容。

Thanks!

也许不是最好的代码，但它有效，它并没有严格回答您所有的问题，但也许您会找到可以使用的部分。

你的流程很好，我也在做几乎同样的事情。

我将密钥保存在动态创建的密钥库中。另外，我有密钥库，其中包含使用 openssl 工具创建的可信证书。

对于通信，我使用了 okHttp + 改造

https://github.com/square/okhttp https://github.com/square/retrofit

产生KeyPair:

public static KeyPair generateKeyPair() throws NoSuchAlgorithmException {
    KeyPairGenerator keyPairGenerator = KeyPairGenerator.getInstance("RSA");
    keyPairGenerator.initialize(2048);
    KeyPair keyPair = keyPairGenerator.genKeyPair();
    return keyPair;
}

生成 CSR：

private static PKCS10CertificationRequest generateCSRFile(KeyPair keyPair) throws IOException, OperatorCreationException {
    String principal = "CN=company1, OU=company1, O=company1, C=GB";
    AsymmetricKeyParameter privateKey = PrivateKeyFactory.createKey(keyPair.getPrivate().getEncoded());
    AlgorithmIdentifier signatureAlgorithm = new DefaultSignatureAlgorithmIdentifierFinder()
            .find("SHA1WITHRSA");
    AlgorithmIdentifier digestAlgorithm = new DefaultDigestAlgorithmIdentifierFinder().find("SHA-1");
    ContentSigner signer = new BcRSAContentSignerBuilder(signatureAlgorithm, digestAlgorithm).build(privateKey);

    PKCS10CertificationRequestBuilder csrBuilder = new JcaPKCS10CertificationRequestBuilder(new X500Name(
            principal), keyPair.getPublic());
    ExtensionsGenerator extensionsGenerator = new ExtensionsGenerator();
    extensionsGenerator.addExtension(X509Extension.basicConstraints, true, new BasicConstraints(true));
    extensionsGenerator.addExtension(X509Extension.keyUsage, true, new KeyUsage(KeyUsage.keyCertSign
            | KeyUsage.cRLSign));
    csrBuilder.addAttribute(PKCSObjectIdentifiers.pkcs_9_at_extensionRequest, extensionsGenerator.generate());
    PKCS10CertificationRequest csr = csrBuilder.build(signer);

    return csr;
}

发送csr（您可能需要将其转换为pem格式），接收证书。

初始化密钥库：

KeyStore store = KeyStore.getInstance("BKS");
InputStream in;
try {
    in = App.getInstance().getApplicationContext().openFileInput(filename);
        try {
            store.load(in, password);
        } finally {
            in.close();
        }
    } catch (FileNotFoundException e) {
        //create new keystore
        store.load(null, password);
    }

初始化信任库：

KeyStore trustStore = KeyStore.getInstance("BKS");
InputStream in = App.getInstance().getApplicationContext().getResources().openRawResource(R.raw.truststore);
try {
    trustStore.load(in, trustorePassword);
} finally {
    in.close();
}

将密钥添加到密钥库（确保您的私钥和证书匹配，如果不匹配，密钥库不会抛出异常，并且使用 okHttp 这可能会导致 libssl 崩溃（仅在 api 低于 4.1 的设备上）：

keyStore.setKeyEntry(alias, privateKey, password, new X509Certificate[]{certificate});

使用自己的创建 okHttpClientSSLContext:

OkHttpClient client = new OkHttpClient();
KeyStore keyStore = App.getInstance().getKeyStoreUtil().getKeyStore();
KeyStore trustStore = App.getInstance().getKeyStoreUtil().getTrustStore();

TrustManagerFactory tmf = TrustManagerFactory.getInstance(TrustManagerFactory.getDefaultAlgorithm());
tmf.init(trustStore);

KeyManagerFactory kmf = KeyManagerFactory.getInstance(KeyManagerFactory.getDefaultAlgorithm());
kmf.init(keyStore, keyStorePassword);

SSLContext sslCtx = SSLContext.getInstance("TLS");
sslCtx.init(kmf.getKeyManagers(), tmf.getTrustManagers(), null);
client.setSslSocketFactory(sslCtx.getSocketFactory());
client.setHostnameVerifier(org.apache.http.conn.ssl.SSLSocketFactory.STRICT_HOSTNAME_VERIFIER);

查看 Nikolay Elenkov 博客，您还可以找到许多有用的信息以及源代码。

• http://nelenkov.blogspot.com/
• http://nelenkov.blogspot.com/2011/11/using-ics-keychain-api.html
• http://nelenkov.blogspot.in/2011/12/ics-trust-store-implementation.html
• http://nelenkov.blogspot.com/2011/12/using-custom-certificate-trust-store-on.html
• http://nelenkov.blogspot.com/2012/05/storing-application-secrets-in-androids.html
• http://nelenkov.blogspot.com/2013/08/credential-storage-enhancements-android-43.html

@edit

发布您的例外情况

@edit2

在你的情况下，你需要提取你的X509Certificate从 Web 服务响应中，将其存储在密钥库中，并使用用于生成 CSR 请求的私钥，并将 CA 证书存储在另一个将用作信任库的密钥库中。 （可以是相同的密钥库，但不推荐）。