本文旨在指导开发者如何在完全控制的客户端和服务器之间，通过不安全的网络建立安全的双向认证连接。文章将介绍如何使用OpenSSL创建自签名证书，并结合Go语言的TLS库实现加密通信，同时提供验证对方身份的方案，帮助读者理解和实践安全连接的搭建过程。
在网络通信中，安全性至关重要。当客户端和服务器通过不可信的网络进行通信时，我们需要采取措施来保护数据的机密性和完整性，并确保通信双方的身份得到验证。传输层安全协议（TLS）是一种广泛使用的安全协议，它提供了加密通信和身份验证的功能。本文将介绍如何使用Go语言的crypto/tls包和自签名证书来建立安全的双向认证连接。
生成自签名证书
由于我们完全控制客户端和服务器，因此可以使用自签名证书。这意味着我们不需要从证书颁发机构（CA）购买证书，而是自己生成证书。虽然自签名证书不如由受信任的CA签名的证书那样被广泛信任，但在受控环境中，它们提供了一种简单而有效的安全解决方案。
我们可以使用OpenSSL来生成自签名证书。以下是在客户端和服务器上都需要执行的步骤：
立即学习“go语言免费学习笔记（深入）”；
-
生成私钥：
openssl genrsa -des3 -out server.key 1024
-
创建证书签名请求（CSR）：
openssl req -new -key server.key -out server.csr
-
移除密码保护（可选，但建议）：
cp server.key server.key.org openssl rsa -in server.key.org -out server.key
-
使用私钥签署CSR以创建自签名证书：
openssl x509 -req -days 365 -in server.csr -signkey server.key -out server.crt
server.key是私钥文件，server.crt是证书文件。 将这些文件分别命名为client.key和client.crt用于客户端。
使用Go的TLS库
生成证书后，我们可以使用Go的crypto/tls包来建立安全的连接。
首先，创建一个tls.Config结构体。一个tls.Config可以同时用于客户端和服务器，但有些选项只需要在其中一方设置。
import (
"crypto/tls"
"crypto/x509"
"io/ioutil"
"log"
)
func createTLSConfig(certFile, keyFile string) (*tls.Config, error) {
cert, err := tls.LoadX509KeyPair(certFile, keyFile)
if err != nil {
return nil, err
}
config := &tls.Config{
Certificates: []tls.Certificate{cert},
ClientAuth: tls.RequireAnyClientCert, // 在服务器端需要设置
InsecureSkipVerify: true, // 在客户端需要设置，生产环境不建议
}
return config, nil
}解释:
- tls.LoadX509KeyPair(cert, key): 从证书和私钥文件加载密钥对。
- Certificates: []tls.Certificate{cert}: 将加载的证书添加到配置中。
- ClientAuth: tls.RequireAnyClientCert: (仅服务器端) 要求客户端提供证书。
- InsecureSkipVerify: true: (仅客户端) 跳过服务器证书的验证。警告：在生产环境中，不应该跳过证书验证。 应该使用受信任的CA证书或将服务器的证书添加到客户端的信任列表中。
服务器端
在服务器端，创建一个TLS监听器：
import (
"crypto/tls"
"log"
"net"
)
func main() {
config, err := createTLSConfig("server.crt", "server.key")
if err != nil {
log.Fatalf("无法创建 TLS 配置: %v", err)
}
listener, err := tls.Listen("tcp", ":4443", config)
if err != nil {
log.Fatalf("无法创建 TLS 监听器: %v", err)
}
defer listener.Close()
log.Println("服务器监听在 :4443")
for {
conn, err := listener.Accept()
if err != nil {
log.Printf("接受连接失败: %v", err)
continue
}
go handleConnection(conn) // 处理连接
}
}
func handleConnection(conn net.Conn) {
defer conn.Close()
// 在这里处理连接逻辑
log.Printf("客户端连接来自: %s", conn.RemoteAddr())
}客户端
在客户端，使用tls.Dial连接到服务器：
import (
"crypto/tls"
"log"
"net"
)
func main() {
config, err := createTLSConfig("client.crt", "client.key")
if err != nil {
log.Fatalf("无法创建 TLS 配置: %v", err)
}
conn, err := tls.Dial("tcp", "localhost:4443", config)
if err != nil {
log.Fatalf("无法连接到服务器: %v", err)
}
defer conn.Close()
log.Println("成功连接到服务器")
// 在这里与服务器通信
}验证对方身份
虽然上述代码创建了一个加密连接，但它并没有验证对方的身份。最简单的方法是让每个服务器拥有对方的公钥，并将其与连接的服务器的公钥进行比较。
import (
"bytes"
"crypto/tls"
"crypto/x509"
"log"
"net"
)
func verifyClientCertificate(conn net.Conn, expectedPublicKey []byte) bool {
tlsConn, ok := conn.(*tls.Conn)
if !ok {
log.Println("连接不是 TLS 连接")
return false
}
if err := tlsConn.Handshake(); err != nil {
log.Printf("握手失败: %v", err)
return false
}
state := tlsConn.ConnectionState()
if len(state.PeerCertificates) == 0 {
log.Println("没有客户端证书")
return false
}
pubKey, err := x509.MarshalPKIXPublicKey(state.PeerCertificates[0].PublicKey)
if err != nil {
log.Printf("无法序列化公钥: %v", err)
return false
}
return bytes.Equal(pubKey, expectedPublicKey)
}解释:
- conn.(*tls.Conn): 将net.Conn转换为tls.Conn。
- tlsConn.Handshake(): 确保握手已完成，没有错误。
- state.PeerCertificates[0].PublicKey: 获取对等方的证书链中的第一个证书(客户端证书)的公钥。
- x509.MarshalPKIXPublicKey(): 将公钥序列化为字节数组。
- bytes.Equal(pubKey, expectedPublicKey): 将序列化的公钥与预期的公钥进行比较。
在服务器端，在handleConnection函数中调用verifyClientCertificate函数，传入连接对象和预期的客户端公钥。在客户端，则需要在连接建立后，获取服务器的公钥并进行验证。
注意事项
- 生产环境的证书验证: 在生产环境中，不要跳过证书验证 (InsecureSkipVerify: true)。 使用受信任的CA签名的证书，或者将服务器的证书添加到客户端的信任列表中。
- 密钥安全: 安全地存储和管理私钥。
- 证书过期: 自签名证书有过期时间。 定期更新证书。
- 双向认证: 确保客户端和服务器都验证对方的身份。
- 错误处理: 在代码中添加适当的错误处理。
总结
本文介绍了如何使用Go语言和自签名证书建立安全的双向认证连接。通过生成自签名证书，配置TLS连接，并验证对方身份，可以确保客户端和服务器之间的通信安全。请记住，在生产环境中，应该使用受信任的CA签名的证书，并采取适当的安全措施来保护密钥。
