这是我用来设置服务器的代码:
require 'socket'
require 'openssl'
socket = TCPServer.new('127.0.0.1', 4433)
ssl_context = OpenSSL::SSL::SSLContext.new()
ssl_context.cert = OpenSSL::X509::Certificate.new(File.open("ssl/server/server.crt"))
ssl_context.key = OpenSSL::PKey::RSA.new(File.open("ssl/server/server.key"))
ca_cert = OpenSSL::X509::Certificate.new(File.open("ssl/ca/ca.crt"))
ssl_socket = OpenSSL::SSL::SSLServer.new(socket, ssl_context)
Thread.start(ssl_socket.accept) do |s|
puts "Connected to #{s.peeraddr.last}"
if s.peer_cert.verify(ca_cert.public_key)
puts "Certificate verified"
else
puts "Certificate invalid"
end
end
和客户:
require 'socket'
require 'openssl'
socket = TCPSocket.new('127.0.0.1', 4433)
ssl_context = OpenSSL::SSL::SSLContext.new
ssl_context.cert = OpenSSL::X509::Certificate.new(File.open("ssl/client1/client1.crt"))
ssl_context.key = OpenSSL::PKey::RSA.new(File.open("ssl/client1/client1.key"))
ssl_socket = OpenSSL::SSL::SSLSocket.new(socket, ssl_context)
ca_cert = OpenSSL::X509::Certificate.new(File.open("ssl/ca/ca.crt"))
ssl_socket.connect
if ssl_socket.peer_cert.verify(ca_cert.public_key)
puts "Certificate checks out"
else
puts "Certificate not verified"
end
但是,服务器在尝试获取它找不到的 peer_cert 时抛出异常。有没有办法让 SSLServer 期待客户端证书?
最佳答案
看看test_client_auth和 start_server在 OpenSSL::SSL
的测试中。
在我的脑海中,我唯一看到您的代码中缺少的是您忘记在服务器端明确要求客户端身份验证 - 设置标志组合很重要
flags = OpenSSL::SSL::VERIFY_PEER|OpenSSL::SSL::VERIFY_FAIL_IF_NO_PEER_CERT
ctx.verify_mode = flags
这样服务器实际上需要客户端身份验证,而不是默默地接受未经身份验证的请求。如果您不设置这些,服务器将很乐意不请求客户端身份验证,因此也没有可用的对等证书。
关于ruby - 在 Ruby 中使用 SSLServer 验证客户端证书,我们在Stack Overflow上找到一个类似的问题: https://stackoverflow.com/questions/7735422/