C++网络编程之SSL/TLS加密通信

概述

        在互联网时代，数据的安全性变得尤为重要。随着网络安全威胁的不断增加，确保信息传输过程中的机密性、完整性和可用性成为了开发者必须考虑的关键因素。在C++网络编程中，使用SSL/TLS加密通信是一种常见的做法。它允许客户端和服务器之间通过互联网安全地交换信息，从而为网络通信提供隐私性和数据完整性。

        SSL，英文全称为Secure Sockets Layer，最初由Netscape公司在1990年代开发，用于保护Web浏览器与服务器间的通信。TLS，英文全称为Transport Layer Security，是IETF标准化后的版本，可以看作是SSL的继承者。尽管名字不同，但两者提供的功能非常相似，通常会把它们统称为“SSL/TLS”。

基本概念

        SSL/TLS：一种用于在两个通信应用程序之间提供保密性和数据完整性的协议。

        证书：一种数字文档，包含了一个实体的信息及其公钥。它由一个可信赖的第三方机构（CA，即Certificate Authority）签发，以证明该实体的身份。

        公钥/私钥: 每个参与者都有一对密钥，主要用于非对称加密算法。公钥公开给所有人，用于加密或验证签名。私钥则保密保存，仅用于解密或创建签名。这保证了即使数据被拦截，没有私钥也无法读取其内容。非对称加密算法的安全性在于：计算上难以从公钥推导出私钥。常见的非对称加密算法包括：RSA、ECC等。

        会话密钥：一旦客户端与服务器建立了信任关系，就会生成一个临时的对称密钥，来进行后续的数据加密和解密工作。对称加密算法因为其加密解密速度快，在大量数据传输中非常有用。常用的对称加密算法有：AES、DES等。

        公钥/私钥与会话密钥之间的主要关系在于：安全地建立对称加密会话。具体来说，有如下两个主要步骤。

        1、使用非对称加密来安全地交换会话密钥。比如：小王可以使用小张的公钥加密一个会话密钥，并将它发送给小张；只有拥有相应私钥的小张，才能解密该会话密钥。

        2、一旦会话密钥被安全地交换，小王和小张就可以使用这个会话密钥，并通过对称加密算法来加密实际传输的数据。

API接口

        OpenSSL是一个开源软件包，提供了丰富的函数用于实现SSL/TLS加密通信，一些常用的API如下。

        SSL_CTX_new：创建一个新的SSL上下文。

        SSL_CTX_use_certificate_file：用于设置证书文件路径。

        SSL_CTX_use_PrivateKey_file：用于设置私钥文件路径。

        SSL_new：根据给定的SSL上下文创建一个新的SSL结构体实例。

        SSL_set_fd：将已有的socket描述符绑定至SSL对象上。

        SSL_connect：客户端调用此函数开始SSL握手过程。

        SSL_accept：服务端调用此函数开始SSL握手过程。

        SSL_read：用于读取加密后的数据流。

        SSL_write：用于写入加密后的数据流。

        SSL_shutdown：发起关闭SSL连接的过程。

        使用OpenSSL库进行SSL/TLS加密通信的主要步骤如下。

        1、初始化OpenSSL库。通常情况下，我们需要调用SSL_library_init等函数来初始化环境。

        2、创建SSL上下文。使用SSL_CTX_new创建一个新的SSL_CTX对象，并配置相关的选项。比如：选择使用的协议版本为TLSv1.2、TLSv1.3等。

        3、加载证书文件。如果作为服务端运行，则需要加载自己的证书及私钥。如果是客户端，则可能需要指定CA证书列表，以验证服务器的身份。

        4、建立普通套接字连接。与普通的TCP/IP编程一样，先完成两台机器之间的基本连接。

        5、将普通套接字转换成SSL套接字。通过SSL_set_fd函数，关联已有的Socket句柄与SSL结构体。

        6、握手。双方交换各自的信息，并协商加密算法、生成共享的密钥等。这一过程，通过SSL_connect或SSL_accept函数完成。

        7、数据传输。使用SSL_read和SSL_write代替标准的read和write操作，以确保所有发送和接收的数据都是加密的。

        8、关闭连接。正常情况下，应先调用SSL_shutdown()进行优雅断开，之后再关闭底层socket。

        在C++中如何进行SSL/TLS加密通信，可参考下面服务端的代码。

#include <iostream>
#include <openssl/ssl.h>
#include <openssl/err.h>
#include <string>
#include <sys/socket.h>
#include <netinet/in.h>
#include <unistd.h>
#include <cstdlib>using namespace std;int main()
{if (OPENSSL_init_crypto(0, nullptr) != 1){cout << "Failed to initialize OpenSSL crypto library." << endl;exit(EXIT_FAILURE);}if (OPENSSL_init_ssl(0, nullptr) != 1){cout << "Failed to initialize OpenSSL SSL library." << endl;exit(EXIT_FAILURE);}// 使用最新的TLS版本const SSL_METHOD *method = TLS_server_method();SSL_CTX *ctx = SSL_CTX_new(method);if (ctx == nullptr){ERR_print_errors_fp(stdout);exit(EXIT_FAILURE);}// 配置服务器证书if (SSL_CTX_use_certificate_file(ctx, "server.crt", SSL_FILETYPE_PEM) <= 0){ERR_print_errors_fp(stdout);exit(EXIT_FAILURE);}// 配置服务器私钥if (SSL_CTX_use_PrivateKey_file(ctx, "server.key", SSL_FILETYPE_PEM) <= 0){ERR_print_errors_fp(stdout);exit(EXIT_FAILURE);}// 检查私钥是否匹配证书if (!SSL_CTX_check_private_key(ctx)){cout << "Private key does not match the certificate public key." << endl;exit(EXIT_FAILURE);}// 开启监听int serverSock = socket(AF_INET, SOCK_STREAM, 0);if (serverSock < 0){cout << "Failed to create socket." << endl;exit(EXIT_FAILURE);}struct sockaddr_in server_addr;memset(&server_addr, 0, sizeof(server_addr));server_addr.sin_family = AF_INET;server_addr.sin_port = htons(443);server_addr.sin_addr.s_addr = htonl(INADDR_ANY);if (bind(serverSock, (struct sockaddr*)&server_addr, sizeof(server_addr)) < 0){cout << "Failed to bind socket." << endl;exit(EXIT_FAILURE);}listen(serverSock, 5);while (true){cout << "Wait client connecting..." << endl;struct sockaddr_in client_addr;socklen_t addr_len = sizeof(client_addr);int clientSock = accept(serverSock, (struct sockaddr*)&client_addr, &addr_len);SSL *pSsl = SSL_new(ctx);// 关联已有的Socket句柄与SSL结构体SSL_set_fd(pSsl, clientSock);// 执行握手if (SSL_accept(pSsl) <= 0){ERR_print_errors_fp(stdout);}else{char pBuff[1024] = { 0 };int nBytesReceived = SSL_read(pSsl, pBuff, sizeof(pBuff) - 1);if (nBytesReceived > 0){cout << "Received msg: " << pBuff << endl;// 向客户端回传消息string strRsp = "Hello from Hope Wisdom";SSL_write(pSsl, strRsp.c_str(), strRsp.size());}}SSL_free(pSsl);close(clientSock);}close(serverSock);SSL_CTX_free(ctx);return 0;
}

双向认证

        通常情况下，对于标准的HTTPS连接（比如：浏览器访问一个安全网站），客户端并不需要提供自己的证书或私钥。服务器会向客户端发送其证书，客户端使用预置的信任根证书来验证服务器的身份。

        然而，在某些对安全性要求更高的场景下，比如：企业内部网络、金融交易系统等，服务器可能会要求客户端也提供证书以证明自己的身份。这种机制，被称为双向认证。当客户端也需要进行身份验证时，除了要验证服务器提供的证书外，还需要准备好自己的证书和私钥，并将它们配置到SSL/TLS上下文中。

        下面的示例代码，演示了客户端程序如何设置证书与私钥来完成双向认证。

#include <iostream>
#include <openssl/ssl.h>
#include <openssl/err.h>
#include <string.h>
#include <sys/socket.h>
#include <arpa/inet.h>
#include <unistd.h>using namespace std;int main() 
{if (OPENSSL_init_crypto(0, nullptr) != 1){cout << "Failed to initialize OpenSSL crypto library." << endl;exit(EXIT_FAILURE);}if (OPENSSL_init_ssl(0, nullptr) != 1){cout << "Failed to initialize OpenSSL SSL library." << endl;exit(EXIT_FAILURE);}// 使用最新的TLS版本const SSL_METHOD *method = TLS_client_method();SSL_CTX *ctx = SSL_CTX_new(method);if (ctx == NULL){ERR_print_errors_fp(stdout);exit(EXIT_FAILURE);}// 配置客户端证书if (SSL_CTX_use_certificate_file(ctx, "client.crt", SSL_FILETYPE_PEM) <= 0){ERR_print_errors_fp(stdout);exit(EXIT_FAILURE);}// 配置客户端私钥if (SSL_CTX_use_PrivateKey_file(ctx, "client.key", SSL_FILETYPE_PEM) <= 0){ERR_print_errors_fp(stdout);exit(EXIT_FAILURE);}// 创建socketint sock = socket(AF_INET, SOCK_STREAM, 0);if (sock < 0){cout << "Failed to create socket." << endl;return -1;}// 设置服务器地址struct sockaddr_in server_addr;memset(&server_addr, 0, sizeof(server_addr));server_addr.sin_family = AF_INET;server_addr.sin_port = htons(443);// 假设服务器IP为本地回环地址inet_pton(AF_INET, "127.0.0.1", &server_addr.sin_addr);// 连接到服务器if (connect(sock, (struct sockaddr*)&server_addr, sizeof(server_addr)) < 0){cout << "Failed to connect" << endl;close(sock);return -1;}SSL *pSsl = SSL_new(ctx);// 关联已有的Socket句柄与SSL结构体SSL_set_fd(pSsl, sock);// 执行握手if (SSL_connect(pSsl) <= 0){ERR_print_errors_fp(stdout);goto end;}// 发送消息给服务器const char* pMsg = "Hi, Hope Wisdom";SSL_write(pSsl, pMsg, strlen(pMsg));// 接收响应char pBuff[1024] = {0};int nBytesReceived = SSL_read(pSsl, pBuff, sizeof(pBuff) - 1);if (nBytesReceived > 0){cout << "Received msg: " << pBuff << endl;}else{cout << "Failed to receive msg" << endl;}end:SSL_free(pSsl);close(sock);SSL_CTX_free(ctx);return 0;
}

        在上面的示例代码中，client.crt和client.key表示客户端的证书和私钥文件。这些文件必须预先生成好，并放置于程序可以访问的位置。另外，还需要确保服务端已正确配置允许客户端认证，并且加载了用于验证客户端证书的CA证书。

        至于服务端如何配置，可参考下面的示例代码。

// 设置验证模式为需要客户端证书
SSL_CTX_set_verify(ctx, SSL_VERIFY_PEER | SSL_VERIFY_FAIL_IF_NO_PEER_CERT, nullptr);// 加载CA证书
if (SSL_CTX_load_verify_locations(ctx, "ca.crt", nullptr) != 1)
{ERR_print_errors_fp(stdout);exit(EXIT_FAILURE);
}

        在上面的示例代码中，SSL_CTX_set_verify设置了客户端验证策略。我们设置了标志位SSL_VERIFY_PEERh和SSL_VERIFY_FAIL_IF_NO_PEER_CERT，这意味着服务端会强制要求客户端提供证书。如果客户端没有提供证书，则握手失败。SSL_CTX_load_verify_locations函数指定了一个或多个CA证书文件的位置，这些证书用于验证客户端提供的证书是否有效。如果没有找到合适的CA证书来验证客户端证书，握手也会失败。

本文来自互联网用户投稿，该文观点仅代表作者本人，不代表本站立场。本站仅提供信息存储空间服务，不拥有所有权，不承担相关法律责任。如若转载，请注明出处：http://www.mzph.cn/bicheng/61038.shtml

如若内容造成侵权/违法违规/事实不符，请联系多彩编程网进行投诉反馈email:809451989@qq.com，一经查实，立即删除！

相关文章

vue3中ElementPlus引入下载icon图标不显示透明问题解决教程方法

vue3中ElementPlus引入下载icon图标不显示透明问题解决教程方法

问题&#xff1a;今天用vue3开发&#xff0c;使用ElementPlus图标引入了但是不显示&#xff0c;是空白透明 解决&#xff1a; 1、在main.js中引入element-plus/icons-vue图标库 import * as ElIcons from element-plus/icons-vue; // 引入图标库 2、注册所有图标 // 注册所有…
阅读更多...
1+X应急响应（网络）系统加固：

1+X应急响应（网络）系统加固：

系统加固&#xff1a; 数据库的重要性&#xff1a; 数据库面临的风险&#xff1a; 数据库加固&#xff1a; 业务系统加固&#xff1a; 安全设备加固&#xff1a; 网络设备加固&#xff1a;
阅读更多...
Web导出Excel表格

Web导出Excel表格

背景&#xff1a; 1. 后端主导实现 流程&#xff1a;前端调用到导出excel接口 -> 后端返回excel文件流 -> 浏览器会识别并自动下载 场景&#xff1a;大部分场景都有后端来做 2. 前端主导实现 流程&#xff1a;前端获取要导出的数据 -> 常规数据用插件处理成一个e…
阅读更多...
【Linux】Github 仓库克隆速度慢/无法克隆的一种解决方法，利用 Gitee 克隆 Github 仓库

【Linux】Github 仓库克隆速度慢/无法克隆的一种解决方法，利用 Gitee 克隆 Github 仓库

Github 经常由于 DNS 域名污染以及其他因素克隆不顺利。 一种办法是修改 hosts sudo gedit /etc/hosts加上一行 XXX.XXX.XXX.XXX github.comXXX 位置的 IP 可以通过网站查询 IP/服务器github.com的信息-站长工具 这种方法比较适合本身可以克隆&#xff0c;但是速度很慢的…
阅读更多...
理解反射，学会反射：撬开私有性质（private）的属性与方法

理解反射，学会反射：撬开私有性质（private）的属性与方法

看到这句话的时候证明&#xff1a;此刻你我都在努力 加油陌生人 个人主页&#xff1a;Gu Gu Study专栏&#xff1a;用Java学习数据结构系列喜欢的一句话&#xff1a; 常常会回顾努力的自己&#xff0c;所以要为自己的努力留下足迹喜欢的话可以点个赞谢谢了。作者&#xff1a;小…
阅读更多...
函数式编程(4) 纯函数

函数式编程(4) 纯函数

纯函数&#xff1a;每次调用时结果总是一样 这个函数不纯&#xff1a;返回的值有变化 这个函数不纯:因为使用了全局变量minAge 要让它变成纯函数需要 纯函数的好处 immutability/不变性 如果创建了一个对象 js中的const阻止了重新分配一个对象给book, 而并不能阻止给更改其titl…
阅读更多...
【Golang】——Gin 框架中间件详解：从基础到实战

【Golang】——Gin 框架中间件详解：从基础到实战

中间件是 Web 应用开发中常见的功能模块&#xff0c;Gin 框架支持自定义和使用内置的中间件&#xff0c;让你在请求到达路由处理函数前进行一系列预处理操作。这篇博客将涵盖中间件的概念、内置中间件的用法、如何编写自定义中间件&#xff0c;以及在实际应用中的一些最佳实践。…
阅读更多...
Python爬虫知识体系-----requests-----持续更新

Python爬虫知识体系-----requests-----持续更新

数据科学、数据分析、人工智能必备知识汇总-----Python爬虫-----持续更新&#xff1a;https://blog.csdn.net/grd_java/article/details/140574349 文章目录 一、安装和基本使用1. 安装2. 基本使用3. response常用属性 二、get请求三、post请求四、代理 一、安装和基本使用 1.…
阅读更多...
【B+树特点】

【B+树特点】

B树的特点 B树是B树的一种变体&#xff0c;广泛用于数据库系统和文件系统中&#xff0c;特别是在索引结构中。B树在B树的基础上进行了优化&#xff0c;主要在数据存储和查询效率上有所提升。以下是B树的主要特点&#xff1a; 1. 所有数据存储在叶子节点 与B树不同&#xff0…
阅读更多...
高翔【自动驾驶与机器人中的SLAM技术】学习笔记（十三）图优化SLAM的本质

高翔【自动驾驶与机器人中的SLAM技术】学习笔记（十三）图优化SLAM的本质

一、直白解释slam与图优化的结合 我从b站上学习理解的这个概念。 视频的大概位置是1个小时以后&#xff0c;在第75min到80min之间。图优化SLAM是怎么一回事。 slam本身是有运动方程的&#xff0c;也就是运动状态递推方程&#xff0c;也就是预测过程。通过t1时刻&#xff0c…
阅读更多...
PyCharm2024.2.4安装

PyCharm2024.2.4安装

一、官网下载 1.从下面的链接点进去 PyCharm: The Python IDE for data science and web development by JetBrains 2.进入官网后&#xff0c;下载pycharm安装包 3.点击下载能适配你系统的安装包 4.安装包下载完成 二、安装 1.下载完成后&#xff0c;打开点击右键&#xff…
阅读更多...
WebSocket简易聊天室实现（有详细解释）

WebSocket简易聊天室实现（有详细解释）

完整代码 Arata08/online-chat-demo 服务端: 1.编写配置类&#xff0c;扫描有 ServerEndpoint 注解的 Bean import org.springframework.context.annotation.Bean; import org.springframework.context.annotation.Configuration; import org.springframework.web.socket.s…
阅读更多...
解决Xeyes: Error can‘t open display，远程X无法连通问题。

解决Xeyes: Error can‘t open display，远程X无法连通问题。

一、问题分析 提前申明&#xff1a; 本次实验使用REHL 8 进行操作&#xff01; 客户机 A 为X-Client &#xff0c;即远程X的客户端。 服务机 B 为X-Server&#xff0c;即远程X的服务端。 问题的所有操作均在已经配置好Xorg的前提下进行的&#xff0c;不知道不配置会有什么影响&…
阅读更多...
19.UE5道具掉落

19.UE5道具掉落

2-21 道具掉落&#xff0c;回血、回蓝、升级提升伤害_哔哩哔哩_bilibili 目录 1.道具的创建&#xff0c;道具功能的实现 2.随机掉落 1.道具的创建&#xff0c;道具功能的实现 新建Actor蓝图&#xff0c;并命名为道具总类&#xff0c;添加一个Niagara粒子组件和一个碰撞箱bo…
阅读更多...
DevExpress WinForms中文教程：Data Grid - 如何绑定到实体框架数据源？

DevExpress WinForms中文教程：Data Grid - 如何绑定到实体框架数据源？

在本教程中&#xff0c;您将学习如何将DevExpress WinForms的网格控件绑定到实体框架数据源、如何使用数据注释属性来更改网格显示和管理数据的方式&#xff0c;以及如何将单元格值更改发送回数据源。 P.S&#xff1a;DevExpress WinForms拥有180组件和UI库&#xff0c;能为Wi…
阅读更多...
关于强化学习的一份介绍

关于强化学习的一份介绍

在这篇文章中&#xff0c;我将介绍与强化学习有关的一些东西&#xff0c;具体包括相关概念、k-摇臂机、强化学习的种类等。 一、基本概念 所谓强化学习就是去学习&#xff1a;做什么才能使得数值化的收益信号最大化。学习者不会被告知应该采取什么动作&#xff0c;而是必须通…
阅读更多...
微服务day07

微服务day07

MQ高级 发送者可靠性&#xff0c;MQ的可靠性&#xff0c;消费者可靠性。 发送者可靠性 发送者重连 连接重试的配置文件&#xff1a; spring:rabbitmq:connection-timeout: 1s # 设置MQ的连接超时时间template:retry:enabled: true # 开启超时重试机制initial-interval: 10…
阅读更多...
i春秋-EXEC（命令执行、nc传输文件、带外通道传输数据）

i春秋-EXEC（命令执行、nc传输文件、带外通道传输数据）

练习平台地址 竞赛中心 题目描述 题目内容 小猫旁边有一个no sign F12检查页面 没有提示 检查源代码 发现使用了vim编辑器 进而联想到vim编辑器的临时交换文件.xxx.swp 访问.index.php.swp&#xff0c;成功下载文件 使用vim -r 查看文件内容 vim -r index.php.swp <?p…
阅读更多...
【Web前端】Promise的使用

【Web前端】Promise的使用

Promise是异步编程的核心概念之一。代表一个可能尚未完成的操作&#xff0c;并提供了一种机制来处理该操作最终的成功或失败。具体来说&#xff0c;Promise是由异步函数返回的对象&#xff0c;能够指示该操作当前所处的状态。 当Promise被创建时&#xff0c;它会处于“待定”&a…
阅读更多...
YOLO系列基础（六）YOLOv1原理详解，清晰明了！

YOLO系列基础（六）YOLOv1原理详解，清晰明了！

系列文章地址 YOLO系列基础&#xff08;一&#xff09;卷积神经网络原理详解与基础层级结构说明-CSDN博客 YOLO系列基础&#xff08;二&#xff09;Bottleneck瓶颈层原理详解-CSDN博客 YOLO系列基础&#xff08;三&#xff09;从ResNet残差网络到C3层-CSDN博客 YOLO系列基础…
阅读更多...
推荐文章
最新文章

Copyright @ 2022~2023