https的握手過程

https在傳輸真正的資料之前，需要客戶端和服務端進行一次協議握手，主要配置好兩邊的私鑰和一些初始化工作，大致流程如下圖：

使用中遇到的問題

最近專案需要使用https方式訪問，專案是用retrofit+okhttp框架，需要把以前的http全部改為https訪問；關於https訪問配置的方式有三種

• 信任所有證書
• 驗證某一個特定證書

信任所有證書

直接將以前的http改成https即可，不需要做任何改變，照理說第一種改變https即可，但是我卻出現這種異常

Suppressed: javax.net.ssl.SSLHandshakeException: Handshake failed
04
 
-17 18:09:07.892 3160-3160/com.chinamobile.iot.easiercharger W/System.err: 		... 36 more
04-17 18:09:07.892 3160-3160/com.chinamobile.iot.easiercharger W/System.err: 	Caused by: javax.net.ssl.SSLProtocolException: SSL handshake aborted: ssl=0x9e23da80: Failure in SSL library, usually a protocol error
04-17 18:09:07.892
 
 3160-3160/com.chinamobile.iot.easiercharger W/System.err: error:100bd10c:SSL routines:ssl3_get_record:WRONG_VERSION_NUMBER (external/boringssl/src/ssl/s3_pkt.c:311 0xa92997f7:0x00000000)
04-17 18:09:07.902 3160-3160/com.chinamobile.iot.easiercharger W/System.err:     at com.android.org.conscrypt.NativeCrypto.SSL_do_handshake(Native Method)
 

04-17 18:09:07.902 3160-3160/com.chinamobile.iot.easiercharger W/System.err:     at com.android.org.conscrypt.OpenSSLSocketImpl.startHandshake(OpenSSLSocketImpl.java:353)
04-17 18:09:07.902 3160-3160/com.chinamobile.iot.easiercharger W/System.err: 		... 35 more
04-17 18:09:07.902 3160-3160/com.chinamobile.iot.easiercharger W/System.err: Caused by: javax.net.ssl.SSLProtocolException: SSL handshake aborted: ssl=0x9e23da80: Failure in SSL library, usually a protocol error
04-17 18:09:07.902 3160-3160/com.chinamobile.iot.easiercharger W/System.err: error:100bd10c:SSL routines:ssl3_get_record:WRONG_VERSION_NUMBER (external/boringssl/src/ssl/s3_pkt.c:311 0xa92997f7:0x00000000)
04-17 18:09:07.902 3160-3160/com.chinamobile.iot.easiercharger W/System.err:     at com.android.org.conscrypt.NativeCrypto.SSL_do_handshake(Native Method)
04-17 18:09:07.902 3160-3160/com.chinamobile.iot.easiercharger W/System.err:     at com.android.org.conscrypt.OpenSSLSocketImpl.startHandshake(OpenSSLSocketImpl.java:353)
04-17 18:09:07.902 3160-3160/com.chinamobile.iot.easiercharger W/System.err: 	... 35 more

這種問題原因有多重，可能證書有問題，也可能是自己的程式碼有問題；我的專案出現這個問題的原因是：

未改變https之前，我的網路介面類似於這種

http://www.power.com:80

改成https後是這種

https://www.power.com:80

改了之後就出現上訴的錯誤，你們能看出問題所在嗎？

那就是埠號

http協議預設使用的埠號是80，https預設的埠是443，而這裡我改動https後端口號沒變，所以這個域名是訪問不通的，除非https通訊埠號被改成了80才會通，解決辦法就是埠號改成443即可解決

這是我使用第一種方式引發的問題，如果使用自簽名的證書或者忽略所有證書，一旦你的埠號有誤，也可能出現上訴問題，夥伴們，擦亮眼睛吧！

信任某一特定證書

獲取證書

可以從網站上匯出證書，具體方法可點選參考，匯出比較簡單，重要的是格式，博主在匯出的.cer格式的證書後，反正asstes目錄下，最後以stream方式開啟，但是在okhttp使用這個證書檔案驗證時總出錯，報錯資訊大致是code編碼問題，思考了良久和查詢了資料，最後確定原因是證書用在okhttp框架裡去的時候要永城utf-8格式，以下是解決方案：

1. 將cer檔案裡面的key原封不等的拷貝出來

public final static String SSL_KEY = "-----BEGIN CERTIFICATE-----\n" +
            "Fw0xODAxMTYwMDAwMDBaFw0yMDAyMTUxMjAwMDBaMIGdMQswCQYDVQQGEwJDTjEQ\n" +
            "MA4GA1UEBxMHQ2hlbmdkdTE4MDYGA1UEChMvQ2hpbmEgTW9iaWxlIElPVCBDb21w\n" +
            "YW55IExpbWl0ZWQgQ2hlbmdkdSBicmFuY2gxJjAkBgNVBAsTHUluZm9ybWF0aW9u\n" +
            "IFRlY2hub2xvZ3kgQ2VudGVyMRowGAYDVQQDExF3d3cudGF4aWFpZGVzLmNvbTCC\n" +
            "ASIwDQYJKoZIhvcNAQEBBQADggEPADCCAQoCggEBAOryUl/OGkrUkqSzoimarOPv\n" +
            "V0qQ7EsyS1ny0UZ7jcxnFS7ztOLh/0XIaPvX4e2KWgdcgxL8LbQ/gFKeRr5s6Uub\n" +
            "QUeczE9+CO4ic5opzS76QVJVH0kTSBoB1HBJ0TAV3XhSt+SOF7T5bpJrcCdijw7X\n" +
            "-----END CERTIFICATE-----";

2. 匯入時要進行一次utf編碼

InputStream[] key = new InputStream[]{new Buffer().writeUtf8(SSL_KEY_TEST).inputStream()};

3. 進行證書驗證

public static SSLParams setCertificates(InputStream... certificates)
    {
        SSLParams sslParams = new SSLParams();
        try
        {
            CertificateFactory certificateFactory = CertificateFactory.getInstance("X.509");
            KeyStore keyStore = KeyStore.getInstance(KeyStore.getDefaultType());
            keyStore.load(null);
            int index = 0;
            for (InputStream certificate : certificates)
            {
                String certificateAlias = Integer.toString(index++);
                keyStore.setCertificateEntry(certificateAlias, certificateFactory.generateCertificate(certificate));

                try
                {
                    if (certificate != null){
                        certificate.close();
                    }
                } catch (IOException e)
                {
                    e.printStackTrace();
                }
            }
            SSLContext sslContext = SSLContext.getInstance("TLS");

            TrustManagerFactory trustManagerFactory =
                    TrustManagerFactory.getInstance(TrustManagerFactory.getDefaultAlgorithm());

            trustManagerFactory.init(keyStore);
            sslContext.init
                    (
                            null,
                            trustManagerFactory.getTrustManagers(),
                            new SecureRandom()
                    );

            sslParams.trustManager = (X509TrustManager) trustManagerFactory.getTrustManagers()[0];
            sslParams.sSLSocketFactory = sslContext.getSocketFactory();
            return sslParams;
        } catch (Exception e)
        {
            e.printStackTrace();
        }
        return sslParams;
    }

成功後，可以去換一個錯誤的證書測試一下，不要嘗試著去修改正確證書裡面的內容，這樣會造成第三步驟裡面證書驗證丟擲異常，導致所有證書這塊程式碼都沒執行，信任所有證書；建議去其他https網站，按照上面步驟匯出一個第三方的cer證書，最後用錯誤的證書測試會有以下幾個字眼，就表示成功；

 Trust anchor for certification path not found.

服務端驗證

以上講述的都是客戶端驗證服務端的證書，客戶端只包含了服務端的公鑰；而雙向驗證則會多了幾點，詳細請看下：

1. 客戶端傳送自己的SSL版本資訊、支援加密演算法等資訊
2. 服務端收到後傳送SSL版本資訊、支援加密演算法等資訊，並且傳送自己的公鑰證書給客戶端
3. 客戶端會驗證公鑰證書的合法性，CA機構頒佈、過期或者是否信任
4. 如果不通過將會終止
5. 服務端會要求客戶端傳送客戶端自己的公鑰證書給服務端，收到後，服務端會對其證書進行驗證
6. 驗證通過後，會獲得客戶端的公鑰；至此，客戶端有自己的私鑰和服務端的公鑰；服務端有自己的私鑰和客戶端的公鑰
7. 客戶端會發送自己所支援的對稱加密方案，服務端會選擇一個加密程度最高的演算法
8. 選擇後，會用客戶端的公鑰加密選擇的方案，加密後傳送給客戶端
9. 客戶端用自己的私鑰進行解密，並使用該加密方案產生初始的加密祕鑰
10. 客戶端使用服務端的公鑰加密該對稱私鑰，傳送給服務端
11. 服務端收到加密對稱私鑰後，用自己的私鑰解密後會獲得對稱祕鑰，
12. 最後，兩邊都獲得了對稱祕鑰，使用該祕鑰進行通訊
    單向認證沒有服務端對客戶端的證書驗證，並且在第8步驟是明文傳送加密方案

程式碼完成

	//客戶端祕鑰keystore
    KeyStore keyStore = KeyStore.getInstance(KeyStore.getDefaultType()); 
    //讀取客戶端私鑰
    InputStream ksIn = context.getAssets().open(CLIENT_PRI_KEY);
    //keystore載入祕鑰和密碼
    keyStore.load(ksIn, CLIENT_BKS_PASSWORD.toCharArray());
    ksIn.close();
    //初始化SSLContext
    SSLContext sslContext = SSLContext.getInstance(“TLS”);
    KeyManagerFactory keyManagerFactory = KeyManagerFactory.getInstance("X.509");
    
    keyManagerFactory.init(keyStore, CLIENT_BKS_PASSWORD.toCharArray());
    //第一個引數向服務端發起驗證 第二個用於驗證服務端的證書
    sslContext.init(keyManagerFactory.getKeyManagers(), null, null); 
　
    sslSocketFactory = sslContext.getSocketFactory();

總結

證書驗證

• 獲取證書管理類CertificateFactory和KeyStore
• 使用證書管理類CertificateFactory和證書初始化Keystore
• 獲取證書信任管理類TrustManagerFactory，將Keystore裡面的證書新增到證書信任管理類中
• SSL上下文類SSLContext用證書信任管理類進行初始化
• 將SSL新增到okhttpbuilder裡面即可