Zookeeper 实现 ssl 双向认证

本文为博主原创,未经允许不得转载:

  zookeeper 作为注册中心或服务发现协调中心的时候,zookeeper 默认与其他服务通过 http 进行通信。

  zookeeper 与协调服务配置 ssl 双向认证,即 client 端验证 server 端证书,server 端验证 client 端证书,

  

  1. ssl 双向认证过程

                             

 

 

 

  1、客户端向服务器发送连接请求(SSL协议版本号、加密算法种类、随机数等信息)

  2、服务器给客户端返回服务器端的证书,即公钥证书,同时也返回证书相关信息(SSL协议版本号、加密算法种类、随机数等信息)

  3、客户端使用服务端返回的信息验证服务器的合法性(首先检查服务器发送过来的证书是否是由自己信赖的CA中心所签发的,再比较证书里的消息,例如域名和公钥,与服务器刚刚发送的相关消息是否一致,如果是一致的,客户端认可这个服务端的合法身份),验证通过后,则继续进行通信,否则终止通信,具体验证内容包括:

       a、证书是否过期
       b、发行服务器证书的CA是否可靠
       c、返回的公钥是否能正确解开返回证书中的数字签名
       d、服务器证书上的域名是否和服务器的实际域名相匹配

  4、服务端要求客户端发送客户端的证书,客户端会将自己的证书发送至服务端

  5、验证客户端的证书,通过验证后,会获得客户端的公钥

  6、客户端向服务器发送自己所能支持的对称加密方案,供服务器端进行选择

  7、服务器端在客户端提供的加密方案中选择加密程度最高的加密方式

  8、将加密方式通过使用之前获取到的公钥(客户的公钥)进行加密,返回给客户端

  9、客户端收到服务端返回的加密方案密文后,使用自己的私钥进行解密,获取具体加密方式,而后获取该加密方式的随机码,用作加密过程中的密钥,使用之前从服务端证书中获取到的公钥进行加密后,发送给服务端

  10、服务端收到客户端发送的消息后,使用自己的私钥进行解密,获取对称加密的密钥,在接下来的会话中,服务器和客户端将会使用该密码进行对称加密,保证通信过程中信息的安全

  

2. Zookeeper 配置双向认证:

  bin/zkServer.sh 配置:

export SERVER_JVMFLAGS=-Dzookeeper.serverCnxnFactory=org.apache.zookeeper.server.NettyServerCnxnFactory
-Dzookeeper.ssl.keyStore.location=/root/zookeeper/ssl/testKeyStore.jks
-Dzookeeper.ssl.keyStore.password=testpass
-Dzookeeper.ssl.trustStore.location=/root/zookeeper/ssl/testTrustStore.jks
-Dzookeeper.ssl.trustStore.password=testpass”

  在 “zoo.cfg”中增加:

secureClientPort=2281

  “bin/zkCli.sh”的配置为:

export CLIENT_JVMFLAGS=-Dzookeeper.clientCnxnSocket=org.apache.zookeeper.ClientCnxnSocketNetty
-Dzookeeper.client.secure=true
-Dzookeeper.ssl.keyStore.location=/root/zookeeper/ssl/testKeyStore.jks
-Dzookeeper.ssl.keyStore.password=testpass
-Dzookeeper.ssl.trustStore.location=/root/zookeeper/ssl/testTrustStore.jks
-Dzookeeper.ssl.trustStore.password=testpass”

  

  zookeeper 通过 netty 进行服务通信。通过  -Dzookeeper.clientCnxnSocket=org.apache.zookeeper.ClientCnxnSocketNetty 指定 netty 通信。

  上面是通过在  bin/zkCli.sh 客户端 指定通信的安全访问配置。

  如果是 java 客户端时,可以在 java 服务启动类中添加 以上的 系统环境变量配置,即可配置生效。

  

import org.mybatis.spring.annotation.MapperScan;
import org.springframework.boot.SpringApplication;
import org.springframework.boot.autoconfigure.SpringBootApplication;

@SpringBootApplication
@MapperScan("com.example.demo.mapper")
public class DemoApplication {

    public static void main(String[] args) {
        System.setProperty("zookeeper.clientCnxnSocket","org.apache.zookeeper.ClientCnxnSocketNetty");
        System.setProperty("zookeeper.client.secure","true");
        System.setProperty("zookeeper.ssl.keyStore.location","/root/zookeeper/ssl/testKeyStore.jks");
        System.setProperty("zookeeper.ssl.keyStore.password","testpass");
        System.setProperty("zookeeper.ssl.trustStore.location","/root/zookeeper/ssl/testTrustStore.jks");
        System.setProperty("zookeeper.ssl.trustStore.password","testpass");

        SpringApplication.run(DemoApplication.class, args);
    }
}

 

3. zookeeper 客户端认证源码:

  NettyServerCnxnFactory 类中:

  

private synchronized void initSSL(ChannelPipeline p, boolean supportPlaintext) throws X509Exception, KeyManagementException, NoSuchAlgorithmException {
        String authProviderProp = System.getProperty(this.x509Util.getSslAuthProviderProperty());
        SslContext nettySslContext;
        if (authProviderProp == null) {
            SSLContextAndOptions sslContextAndOptions = this.x509Util.getDefaultSSLContextAndOptions();
            nettySslContext = sslContextAndOptions.createNettyJdkSslContext(sslContextAndOptions.getSSLContext(), false);
        } else {
            SSLContext sslContext = SSLContext.getInstance("TLSv1.2");
            X509AuthenticationProvider authProvider = (X509AuthenticationProvider)ProviderRegistry.getProvider(System.getProperty(this.x509Util.getSslAuthProviderProperty(), "x509"));
            if (authProvider == null) {
                LOG.error("Auth provider not found: {}", authProviderProp);
                throw new SSLContextException("Could not create SSLContext with specified auth provider: " + authProviderProp);
            }

            sslContext.init(new X509KeyManager[]{authProvider.getKeyManager()}, new X509TrustManager[]{authProvider.getTrustManager()}, (SecureRandom)null);
            nettySslContext = this.x509Util.getDefaultSSLContextAndOptions().createNettyJdkSslContext(sslContext, false);
        }

        if (supportPlaintext) {
            p.addLast("ssl", new NettyServerCnxnFactory.DualModeSslHandler(nettySslContext));
            LOG.debug("dual mode SSL handler added for channel: {}", p.channel());
        } else {
            p.addLast("ssl", nettySslContext.newHandler(p.channel().alloc()));
            LOG.debug("SSL handler added for channel: {}", p.channel());
        }

    }

 

  初始化 ssl 通信配置,并加载 X509Util 进行校验: 

private synchronized void initSSL(ChannelPipeline pipeline) throws SSLContextException {
            if (this.sslContext == null || this.sslEngine == null) {
                X509Util x509Util = new ClientX509Util();
                Throwable var3 = null;

                try {
                    this.sslContext = x509Util.createSSLContext(ClientCnxnSocketNetty.this.clientConfig);
                    this.sslEngine = this.sslContext.createSSLEngine(this.host, this.port);
                    this.sslEngine.setUseClientMode(true);
                } catch (Throwable var12) {
                    var3 = var12;
                    throw var12;
                } finally {
                    if (x509Util != null) {
                        if (var3 != null) {
                            try {
                                x509Util.close();
                            } catch (Throwable var11) {
                                var3.addSuppressed(var11);
                            }
                        } else {
                            x509Util.close();
                        }
                    }

                }
            }

            pipeline.addLast("ssl", new SslHandler(this.sslEngine));
            ClientCnxnSocketNetty.LOG.info("SSL handler added for channel: {}", pipeline.channel());
        }

 

posted @ 2021-08-10 23:00  香吧香  阅读(2198)  评论(0编辑  收藏  举报