https://ykyi.net/tags/zmq/ Recent content in Zmq on kamuszhou's blog Hugo zh-cn Tue, 17 Jan 2017 09:35:16 +0000 https://ykyi.net/?p=1327/ Tue, 17 Jan 2017 09:35:16 +0000 https://ykyi.net/?p=1327/ <h2 align="center"> <span lang="EN-US">1. </span>前言： </h2> <p><span lang="EN-US"> </span><span lang="EN-US"> </span><span lang="EN-US">ZeroMq aka zmq</span>是最知名的网络消息中间件之一。使有<span lang="EN-US">zmq</span>的开源软件中最知名的莫过于<span lang="EN-US">Apache</span>基金会下的<span lang="EN-US">Storm</span>。我厂内部使用<span lang="EN-US">zmq</span>的有即通的<span lang="EN-US">yaaf</span>框架。</p> <p><span lang="EN-US">   ZMQ</span>社区在<span lang="EN-US">2013</span>年<span lang="EN-US">9</span>月发布了<span lang="EN-US">zmq4</span>。<span lang="EN-US">zmq4</span>最大的新功能即提供了一套安全机制，其中有<span lang="EN-US">IP</span>黑白名单，用户名<span lang="EN-US">/</span>密码鉴权，<span lang="EN-US">ECC(Elliptic Curve Cryptography)</span>证书鉴权，以及通讯的加密<span lang="EN-US">(</span>类似<span lang="EN-US">TSL)</span>。</p> <p><span lang="EN-US">   </span>本文主要介绍<span lang="EN-US">zmq4.0</span>的安全机制。</p> <h2 style="text-align: center;"> <span lang="EN-US">2. </span><span lang="EN-US">ECC</span>的故事： </h2> <p><span lang="EN-US">   </span>这里的<span lang="EN-US">ECC</span>不是我厂历史上的电商事业群，而是椭圆曲线加密算法。<span lang="EN-US">ECC</span>据说被<span lang="EN-US">NSA(</span>美国安全局<span lang="EN-US">)</span>操作，在算法中设置了后门。不过好在不是只有一种椭圆曲线，而是有无数种，不同的曲线有不同的优点和缺点，只是其中由<span lang="EN-US">NIST(</span>美国标准和技术研究署<span lang="EN-US">)</span>推荐的曲线被怀疑设置了后门。</p> <p><span lang="EN-US">   ZMQ</span>使用的椭圆曲线算法是<span lang="EN-US"><a href="http://cr.yp.to/ecdh.html">Curve25519</a> ,</span>它有开源实现而且没有专利保护。<span lang="EN-US">zmq</span>用了长度为<span lang="EN-US">256bits</span>的密钥，强度相当于<span lang="EN-US">RSA 3072</span>比特的密钥长度。</p> <p><span lang="EN-US">   ECDH(Elliptic Curve Diffie-Hellman)</span>则是一个密钥协商协议。非常简单地讲，当<span lang="EN-US">A</span>与<span lang="EN-US">B</span>在一个不受信任的网络中通讯前，<span lang="EN-US">A</span>和<span lang="EN-US">B</span>先生成一对公私钥，并且<span lang="EN-US">A</span>和<span lang="EN-US">B</span>通过某个完全的渠道事先知道对方的公钥，然后<span lang="EN-US">A</span>和<span lang="EN-US">B</span>在握手阶段协商出一个双方公知的私钥供加密接下来的通讯。</p> <p><span lang="EN-US">    </span>可以理解成<span lang="EN-US">zmq</span>设计了一个专门为自己定制的精简的<span lang="EN-US">TLS</span>，更多的理论细节在<span lang="EN-US"><a href="http://curvezmq.org/page:read-the-docs">http://curvezmq.org/page:read-the-docs</a></span>，</p> <p>作为一个码农，下面用代码介绍使用<span lang="EN-US">zmq4</span>的Curve安全机制</p> <h2 style="text-align: center;"> <span lang="EN-US">3. </span>证书鉴权<span lang="EN-US">,</span>通讯加密<span lang="EN-US">,</span><span lang="EN-US">IP </span>白名单 </h2> <p>编译<span lang="EN-US">zmq4.x</span>以后，会生成一个名叫<span lang="EN-US">curve_keygen</span>的程序，用它可以生成<span lang="EN-US">zmq </span>的证书。证书是一个一般的文本文件，如下是一个<span lang="EN-US">curve_keygen</span>生成的<span lang="EN-US">zmq</span>证书的例子。</p> <div class="km_insert_code"> <pre class="brush:other">#   ****  Generated on 2017-01-02 14:24:20 by CZMQ  **** #   ZeroMQ CURVE **Secret** Certificate #   DO NOT PROVIDE THIS FILE TO OTHER USERS nor change its permissions. <p>metadata     email = &ldquo;<a href="mailto:kamuszhou@tencent.com">kamuszhou@tencent.com</a>&rdquo; curve     public-key = &ldquo;!Upjrn]2Dk)jQkYREsceBnpgoIL7koE{CVnV1j4D&rdquo;     secret-key = &ldquo;ZPT#=l/#Rtg:TeLbofh:uPi7#/w(GDZq[0^qPZA1&rdquo;</pre></p> <p> &nbsp; </p> </div>