在gRPC客户端服务器通信中使用SSL

Question

我对SSL / TLS一无所知，并按照网上的说明尝试在gRPC中使用SSL / TLS通道。这是服务器代码：

  std::string server_address("0.0.0.0:50051");
  GreeterServiceImpl service;

  grpc::SslServerCredentialsOptions::PemKeyCertPair pkcp ={"a","b"};
  grpc::SslServerCredentialsOptions ssl_opts;
  ssl_opts.pem_root_certs="";
  ssl_opts.pem_key_cert_pairs.push_back(pkcp);

  std::shared_ptr<grpc::ServerCredentials> creds;
  creds = grpc::SslServerCredentials(ssl_opts);

  ServerBuilder builder;
  builder.AddListeningPort(server_address, creds);
  builder.RegisterService(&service);
  std::unique_ptr<Server> server(builder.BuildAndStart());

服务器将无法启动，并因以下错误而终止。

E1115 13:00:55.657846941   17129 ssl_transport_security.c:636] Invalid cert chain file.
E1115 13:00:55.657936436   17129 security_connector.c:830]   Handshaker factory creation failed with TSI_INVALID_ARGUMENT.
E1115 13:00:55.657954952   17129 server_secure_chttp2.c:344] {"created":"@1479243655.657946821","description":"Unable to create secure server with credentials of type Ssl.","file":"src/core/ext/transport/chttp2/server/secure/server_secure_chttp2.c","file_line":242,"security_status":1}
Server listening on 0.0.0.0:50051
Segmentation fault (core dumped)

我要做的只是使用SSL进行服务器和客户端通信。看起来我在服务器中缺少适当的证书，并且相信客户端中也需要类似的东西。由于我没有SSL的背景知识，因此，如果有人可以向我指出有关如何创建这些证书并将其正确用于gRPC通信的示例，那将是很好的。

Answer 1

证书的创建方式似乎有问题。我忘记了StackOverflow中显示如何创建证书的帖子。使用了该方法，并插入了密钥和证书以使其起作用。

这是我创建密钥（server.key）和证书（server.crt）的方法。

mypass="pass123"

echo Generate server key:
openssl genrsa -passout pass:$mypass -des3 -out server.key 4096

echo Generate server signing request:
openssl req -passin pass:$mypass -new -key server.key -out server.csr -subj  "/C=US/ST=CA/L=SanFrancisco/O=Google/OU=youtube/CN=localhost"

echo Self-sign server certificate:
openssl x509 -req -passin pass:$mypass -days 365 -in server.csr -signkey server.key -set_serial 01 -out server.crt

echo Remove passphrase from server key:
openssl rsa -passin pass:$mypass -in server.key -out server.key

rm server.csr

注意localhost这里的使用。创建客户端频道时应使用相同的内容。我从grpc代码库修改了示例以使用这些代码。如下所示的服务器。

std::string server_address("0.0.0.0:50051");
GreeterServiceImpl service;

std::string servercert = read_keycert("server.crt");
std::string serverkey = read_keycert("server.key");

grpc::SslServerCredentialsOptions::PemKeyCertPair pkcp;
pkcp.private_key = serverkey;
pkcp.cert_chain = servercert;

grpc::SslServerCredentialsOptions ssl_opts;
ssl_opts.pem_root_certs="";
ssl_opts.pem_key_cert_pairs.push_back(pkcp);

std::shared_ptr<grpc::ServerCredentials> creds;
creds = grpc::SslServerCredentials(ssl_opts);

ServerBuilder builder;
builder.AddListeningPort(server_address, creds);
builder.RegisterService(&service);
std::unique_ptr<Server> server(builder.BuildAndStart());
server->Wait();

在客户端中，仅需要证书。这就是我的用法。

std::string cacert = read_keycert("server.crt");
grpc::SslCredentialsOptions ssl_opts;
ssl_opts.pem_root_certs=cacert;

auto ssl_creds = grpc::SslCredentials(ssl_opts);
GreeterClient greeter(grpc::CreateChannel("localhost:50051", ssl_creds));

在每种使用情况下，密钥和证书的生成和使用方式都不同。我认为如果两台服务器进行通信，那么它们可能会有所不同。不确定。希望这有助于新手从gRPC C ++中的安全SSL / TLS开始。