PskKeyManager

public abstract class PskKeyManager
extends Object implements KeyManager

提供TLS-PSK密码套件中使用的预共享密钥（PSK）密钥交换的密钥材料。

Overview of TLS-PSK

TLS-PSK是一组TLS / SSL密码套件，它依靠对称预共享密钥（PSK）来保护TLS / SSL连接并相互验证其对等体。 与传统的基于公钥的密码套件相比，这些密码套件在某些情况下可能更自然，这些情况下，通过单独的步骤（例如，配对步骤）引导对等体之间的通信并要求两个对等体彼此进行身份验证。 在这种情况下，可以在自举步骤中交换对称密钥（PSK），无需生成和交换公钥对和X.509证书。

当使用TLS-PSK密码套件时，两个对等端必须使用相同的密钥才能成功完成TLS / SSL握手。 因此，通过成功的握手隐式认证两个同伴。 这样就省去了使用TrustManager连同此KeyManager 。

Supporting multiple keys

同行可能有多个密钥可供选择。 为了帮助选择正确的密钥，在握手期间服务器可以向客户端提供PSK身份提示 ，并且客户端可以向服务器提供PSK身份 。 这两条信息的内容是特定于应用程序级协议的。

注：PSK标识提示和PSK标识都以明文形式传输。 而且，这些数据在对等体被认证之前被接收和处理。 因此，他们不得包含或泄露关键材料或其他敏感信息，并应谨慎对待（例如解析）为不可信数据。

导致同伴在TLS / SSL握手期间选择密钥的高级流程如下所示：

1. Server receives a handshake request from client.
2. Server replies, optionally providing a PSK identity hint to client.
3. Client chooses the key.
4. Client provides a PSK identity of the chosen key to server.
5. Server chooses the key.

在上面的流程中，任何一方都可以发信号通知他们没有合适的密钥，在这种情况下，握手将立即中止。 这可以使不知道密钥的网络攻击者知道哪些PSK身份提示或PSK身份被支持。 如果这是一个问题，那么在没有密钥可用的情况下应该使用随机生成的密钥。 由于密钥不匹配（与密钥可用的情况相同），这将导致稍后由于密钥不匹配而导致握手中止，从而使攻击者看起来支持所有PSK身份提示和PSK身份。

Maximum sizes

The maximum supported sizes are as follows:

• 256 bytes for keys (see MAX_KEY_LENGTH_BYTES),
• 128 bytes for PSK identity and PSK identity hint (in modified UTF-8 representation) (see MAX_IDENTITY_LENGTH_BYTES and MAX_IDENTITY_HINT_LENGTH_BYTES).

Subclassing

Known issues

Example

 PskKeyManager pskKeyManager = ...;

 SSLContext sslContext = SSLContext.getInstance("TLS");
 sslContext.init(
         new KeyManager[] { pskKeyManager },
         new TrustManager[0], // No TrustManagers needed for TLS-PSK
         null // Use the default source of entropy
         );

 SSLSocket sslSocket = (SSLSocket) sslContext.getSocketFactory().createSocket(...);
 

Summary

Inherited methods

From class java.lang.Object Object clone() 创建并返回此对象的副本。 boolean equals(Object obj) 指示其他某个对象是否“等于”这一个。 void finalize() 当垃圾收集确定没有更多对该对象的引用时，由对象上的垃圾回收器调用。 final Class<?> getClass() 返回 Object的运行时类。 int hashCode() 返回对象的哈希码值。 final void notify() 唤醒正在等待该对象监视器的单个线程。 final void notifyAll() 唤醒在该对象监视器上等待的所有线程。 String toString() 返回对象的字符串表示形式。 final void wait(long millis, int nanos) 导致当前线程等待，直到另一个线程调用此对象的 notify()方法或 notifyAll()方法，或其他某个线程中断当前线程，或经过一定的实时时间。 final void wait(long millis) 导致当前线程等待，直到另一个线程调用此对象的 notify()方法或 notifyAll()方法或经过了指定的时间量。 final void wait() 导致当前线程等待，直到另一个线程调用此对象的 notify()方法或 notifyAll()方法。

Constants

int MAX_IDENTITY_HINT_LENGTH_BYTES

int MAX_IDENTITY_LENGTH_BYTES

int MAX_KEY_LENGTH_BYTES

Public constructors

PskKeyManager ()

Public methods

String chooseClientKeyIdentity (String identityHint, 
                SSLEngine engine)

String chooseClientKeyIdentity (String identityHint, 
                Socket socket)

String chooseServerKeyIdentityHint (SSLEngine engine)

String chooseServerKeyIdentityHint (Socket socket)

SecretKey getKey (String identityHint, 
                String identity, 
                Socket socket)

SecretKey getKey (String identityHint, 
                String identity, 
                SSLEngine engine)