Доброго времени суток. Делаю клиент-серверное приложение, клиент под Android. Нужна TLS сессия с сервером, на котором для этого задействован Netty. Решил на Android-клиенте тоже задействовать Netty. Делаю двустороннюю аутентификацию по сертификатам.
Для тестов создал свой CA сертификат, серверный сертификат, клиентский сертификат (логи создания не привожу, полагаю, не нужно это). Но скажу, что до написания Android-клиента написал Desktop-Java клиента, и схема работала.
Добавил на сервер в список доверенных (cacerts) сертификат клиента.
Сделал Keystore-файл формата BKS (Используя BouncyCastleProvider) с сертификатами сервера и клиента, подсунул этот keystore клиенту. Пробовал создавать как keytool'ом, так и Portecle:
keytool -importcert -v -trustcacerts -file server/server_chain.pem -alias server -keystore server.bks -provider org.bouncycastle.jce.provider.BouncyCastleProvider -storetype BKS -storepass "changeit"
Код клиента:
File client_tls_cert = new File("/sdcard/GreatParents/tls/client/client1.pem");
File client_tls_key = new File("/sdcard/GreatParents/tls/client/client1.key.pkcs8");
TrustManagerFactory tmf = null;
KeyStore ks;
try {
ks = KeyStore.getInstance(KeyStore.getDefaultType());
ks.load(new FileInputStream("/sdcard/GreatParents/tls/server.bks"),"changeit".toCharArray());
tmf = TrustManagerFactory.getInstance(TrustManagerFactory.getDefaultAlgorithm());
tmf.init(ks);
} catch (KeyStoreException | NoSuchAlgorithmException | CertificateException | IOException e) {
e.printStackTrace();
}
if (tmf != null) {
SslContext sslCtx = null;
// Строим клиентский SSL контекст
try {
sslCtx = new JdkSslClientContext(null,tmf,client_tls_cert,client_tls_key, "44j3k2b0", null, null, IdentityCipherSuiteFilter.INSTANCE,(ApplicationProtocolConfig) null,0,0);
} catch (SSLException e) {
e.printStackTrace();
logger.error("TLS Session not initialized");
return;
}
}
Получаю Exception:
Caused by: java.security.NoSuchAlgorithmException: No provider found for pbeWithMD5AndDES-CBC
Что за алгоритм такой, как от него избавиться? Пробовал вот таким кодом смотреть поддерживаемые алгоритмы, нет там такого, как в Exception'е:
Provider[] providers = Security.getProviders();
for (Provider provider : providers) {
logger.info("CRYPTO provider: " + provider.getName());
Set<Provider.Service> services = provider.getServices();
for (Provider.Service service : services) {
logger.info("CRYPTO algorithm: "+ service.getAlgorithm());
}
}
Подскажете, в каком направлении копать? Читал, что Android - не приоритет для разработчиков Netty. Но пока что есть надежда, что это я где-то ошибаюсь просто.
UPDATE
Спасибо lsillarionov, вы были правы. Если при конвертации ключа в pkcs8 указать алгоритм (аргумент -v2), или поставить -nocrypt, проблема уходит. Но приходит другая проблема. И так, код такой:
// Контейнер закрытого ключа клиента
File client_tls_key = new File("/sdcard/GreatParents/tls/client_key.pkcs8");
KeyManagerFactory kmf = null;
KeyStore ks;
try {
ks = KeyStore.getInstance("BKS");
ks.load(new FileInputStream("/sdcard/GreatParents/tls/client_ks.bks"), "changeit".toCharArray());
String kmf_type = KeyManagerFactory.getDefaultAlgorithm();
kmf = KeyManagerFactory.getInstance(kmf_type);
kmf.init(ks, "changeit".toCharArray());
} catch (KeyStoreException | CertificateException | NoSuchAlgorithmException | IOException | UnrecoverableKeyException e) {
e.printStackTrace();
}
TrustManagerFactory tmf = null;
KeyStore ts;
try {
ts = KeyStore.getInstance("BKS");
ts.load(new FileInputStream("/sdcard/GreatParents/tls/client_ts.bks"), "changeit".toCharArray());
String tmf_type = TrustManagerFactory.getDefaultAlgorithm();
tmf = TrustManagerFactory.getInstance(tmf_type);
tmf.init(ts);
} catch (KeyStoreException | NoSuchAlgorithmException | CertificateException | IOException e) {
e.printStackTrace();
}
if (tmf != null) {
SslContext sslCtx = null;
try {
sslCtx = SslContext.newClientContext(SslProvider.JDK,null,tmf,null,client_tls_key,keypass,kmf,null,IdentityCipherSuiteFilter.INSTANCE,(ApplicationProtocolConfig) null,0,0);
} catch (SSLException e) {
e.printStackTrace();
logger.error("TLS Session not initialized");
return;
}
}
В client_ts.bks хранится сертификат сервера, в client_ks.bks хранится сертификат клиента.
При запуске получаю ошибку:
java.security.NoSuchAlgorithmException: KeyStore JKS implementation not found
Сначала было непонятно, откуда взялся JKS, если я все сертификаты специально поместил в Keystore'ы формата BKS, однако нашел в stacktrace'е метод
io.netty.handler.ssl.JdkSslContext.buildKeyManagerFactory
с такой строкой:
KeyStore ks = KeyStore.getInstance("JKS");
То есть Netty "насильно" создает Keystore в формате JKS?! Тогда можно поставить крест на попытке применит Netty в Android-приложении.
Попробую обратиться на англоязычный SOF, может там непосредственно какой-нибудь разработчик Netty пояснит.