程序博客网 > 叶卡捷琳娜二世 知乎

tomcat+ssl双向认证

来源：互联网 发布：叶卡捷琳娜二世 知乎 编辑：程序博客网 时间：2024/05/12 19:47

Tomcat配置SSL的双向认证
    证书保存在服务器端，用户通过浏览器访问时，需要将证书下载保存到本地，表示信任服务器。
    同样浏览器中的证书也需要保存到服务器的证书库中，表明当前浏览器的证书是可信的。
    环境：apache-tomcat-6.0.35、jdk1.6.0_30

第一步：为服务器生成证书

使用keytool为Tomcat生成证书，假定目标机器的域名是“localhost”，keystore文件存放在“C:\tomcat.keystore”，口令为“password”，使用如下命令生成：

Java代码  收藏代码
  1. keytool -genkey -v -alias tomcat -keyalg RSA -keystore tomcat.keystore  

 如果Tomcat所在服务器的域名不是“localhost”，应改为对应的域名，如“www.sina.com.cn”，否则浏览器会弹出警告窗口，提示用户证书与所在域不匹配。在本地做开发测试时，应填入“localhost”

第二步：为客户端生成证书

下一步是为浏览器生成证书，以便让服务器来验证它。为了能将证书顺利导入至IE和Firefox，证书格式应该是PKCS12，因此，使用如下命令生成：

Java代码  收藏代码
  1. keytool -genkey -v -alias myKey -keyalg RSA -storetype PKCS12 -keystore my.p12 -dname "CN=MyKey,OU=cn,O=cn,L=cn,ST=cn,C=cn" -storepass 123456 -keypass 123456  

 对应的证书库存放在“C:\my.p12”，客户端的CN可以是任意值。稍候，我们将把这个“my.p12”证书库导入到IE和Firefox中。

第三步：让服务器信任客户端证书

由于是双向SSL认证，服务器必须要信任客户端证书，因此，必须把客户端证书添加为服务器的信任认证。由于不能直接将PKCS12格式的证书库导入，我们必须先把客户端证书导出为一个单独的CER文件，使用如下命令：

Java代码  收藏代码
  1. keytool -export -alias myKey -keystore my.p12 -storetype PKCS12 -rfc -file my.cer  

 通过以上命令，客户端证书就被我们导出到“C:\my.cer”文件了。下一步，是将该文件导入到服务器的证书库，添加为一个信任证书：

Java代码  收藏代码
  1. keytool -import -v -file my.cer -keystore tomcat.keystore  

 通过list命令查看服务器的证书库，我们可以看到两个输入，一个是服务器证书，一个是受信任的客户端证书：

Java代码  收藏代码
  1. keytool -list -v -keystore tomcat.keystore -storepass 123456  
 
Java代码  收藏代码
  1. Keystore 类型： JKS  
  2.     Keystore 提供者： SUN  
  3.   
  4.     您的 keystore 包含 2 输入  
  5.   
  6.     别名名称： tomcat  
  7.     创建日期： 2010-11-9  
  8.     项类型: PrivateKeyEntry  
  9.     认证链长度： 1  
  10.     认证 [1]:  
  11.     所有者:CN=localhost, OU=hansky, O=cr, ST=bj, C=zh_cn  
  12.     签发人:CN=localhost, OU=hansky, O=cr, ST=bj, C=zh_cn  
  13.     序列号:4cd9036e  
  14.     有效期: Tue Nov 09 16:16:46 CST 2010 至Mon Feb 07 16:16:46 CST 2011  
  15.     证书指纹:  
  16.              MD5:F8:8D:CC:72:34:D2:A3:17:8B:7E:AC:6F:ED:E2:21:24  
  17.              SHA1:B2:70:EC:86:27:79:88:05:E4:72:45:F3:93:38:2C:F6:A0:50:37:0C  
  18.              签名算法名称:SHA1withRSA  
  19.              版本: 3  
  20.   
  21.   
  22.     *******************************************  
  23.     *******************************************  
  24.   
  25.   
  26.     别名名称： mykey  
  27.     创建日期： 2010-11-9  
  28.     输入类型： trustedCertEntry  
  29.   
  30.     所有者:CN=lcl, OU=lc, O=r, L=bj, ST=bj, C=zh_cn  
  31.     签发人:CN=lcl, OU=lc, O=r, L=bj, ST=bj, C=zh_cn  
  32.     序列号:4cd90399  
  33.     有效期: Tue Nov 09 16:17:29 CST 2010 至Mon Feb 07 16:17:29 CST 2011  
  34.     证书指纹:  
  35.              MD5:A4:BB:D1:E6:35:60:22:CC:DC:EF:6E:D9:B0:5C:2C:C7  
  36.              SHA1:12:90:4B:7A:C0:D8:EB:CC:7B:A7:15:8A:05:46:AC:F7:AE:BF:0E:62  
  37.              签名算法名称:SHA1withRSA  
  38.              版本: 3  
  39.   
  40.   
  41.     *******************************************  
  42.     *******************************************  

 第四步：配置Tomcat服务器

打开Tomcat根目录下的/conf/server.xml，找到如下配置段，修改如下：

Java代码  收藏代码
  1. <Connector port="8443" protocol="HTTP/1.1" SSLEnabled="true"  
  2.     maxThreads="150" scheme="https" secure="true"  
  3.     clientAuth="true" sslProtocol="TLS"  
  4.     keystoreFile="C:/tomcat.keystore" keystorePass="password"  
  5.     truststoreFile="C:/tomcat.keystore" truststorePass="password"  
  6. />  

 其中，clientAuth指定是否需要验证客户端证书，如果该设置为“false”，则为单向SSL验证，SSL配置可到此结束。如果clientAuth设置为“true”，表示强制双向SSL验证，必须验证客户端证书。如果clientAuth设置为“want”，则表示可以验证客户端证书，但如果客户端没有有效证书，也不强制验证。

第五步：导入客户端证书

如果设置了clientAuth="true"，则需要强制验证客户端证书。双击“C:\my.p12”即可将证书导入至IE：



导入证书后，即可启动Tomcat，用IE进行访问。如果需要用FireFox访问，则需将证书导入至FireFox：

备注：

采用免费的jdk密钥和证书管理工具keytool生成的密钥仓库默认是JKS（大小写无所谓）格式.

缺省的密钥仓库类型是“jks”（这是由“SUN”提供者提供的密钥仓库实现的专用类型）。它在安全性属性文件中由下行进行指定：

Java代码  收藏代码
  1. keystore.type=jks   

 要让工具使用不同于缺省类型的密钥仓库实现，可更改此行，指定不同的密钥仓库类型。 　　例如，如果您有一个这样的提供者包，它给出一个名为“pkcs12”的密钥仓库类型的密钥仓库实现，则可将上面那行改为：

Java代码  收藏代码
  1. keystore.type=pkcs12   

 

注意：

密钥仓库类型的命名中大小写无关紧要。例如，“JKS”将被认为是与“jks”相同的。

本服务证书生成的是默认格式jks格式。而一般的权威机构颁发的格式为pfx或cer。

由此就设计到了pfx与jks格式之间的转化了。在此给出一个转换类：已测试，没问题，放心使用。

Java代码  收藏代码
  1. package com.hengbao;  
  2.   
  3. import java.io.FileInputStream;  
  4. import java.io.FileOutputStream;  
  5. import java.security.Key;  
  6. import java.security.KeyStore;  
  7. import java.security.cert.Certificate;  
  8. import java.util.Enumeration;  
  9.   
  10. /** 
  11.  * @author guwh 
  12.  * @version 类说明 
  13.  */  
  14. public class ConventPFX {  
  15.     public static final String PKCS12 = "PKCS12";  
  16.     public static final String JKS = "JKS";  
  17.     public static final String PFX_KEYSTORE_FILE = "F:\\pass.pfx";// pfx文件位置  
  18.     public static final String KEYSTORE_PASSWORD = "123456";// 导出为pfx文件的设的密码  
  19.     public static final String JKS_KEYSTORE_FILE = "F:\\pass.jks"; // jks文件位置  
  20.   
  21.     public static void coverTokeyStore() {  
  22.         try {  
  23.             KeyStore inputKeyStore = KeyStore.getInstance("PKCS12");  
  24.             FileInputStream fis = new FileInputStream(PFX_KEYSTORE_FILE);  
  25.             char[] nPassword = null;  
  26.             if ((KEYSTORE_PASSWORD == null)  
  27.                     || KEYSTORE_PASSWORD.trim().equals("")) {  
  28.                 nPassword = null;  
  29.             } else {  
  30.                 nPassword = KEYSTORE_PASSWORD.toCharArray();  
  31.             }  
  32.             inputKeyStore.load(fis, nPassword);  
  33.             fis.close();  
  34.             KeyStore outputKeyStore = KeyStore.getInstance("JKS");  
  35.             outputKeyStore.load(null, KEYSTORE_PASSWORD.toCharArray());  
  36.             Enumeration enums = inputKeyStore.aliases();  
  37.             while (enums.hasMoreElements()) { // we are readin just one  
  38.                                                 // certificate.  
  39.                 String keyAlias = (String) enums.nextElement();  
  40.                 System.out.println("alias=[" + keyAlias + "]");  
  41.                 if (inputKeyStore.isKeyEntry(keyAlias)) {  
  42.                     Key key = inputKeyStore.getKey(keyAlias, nPassword);  
  43.                     Certificate[] certChain = inputKeyStore  
  44.                             .getCertificateChain(keyAlias);  
  45.                     outputKeyStore.setKeyEntry(keyAlias, key,  
  46.                             KEYSTORE_PASSWORD.toCharArray(), certChain);  
  47.                 }  
  48.             }  
  49.             FileOutputStream out = new FileOutputStream(JKS_KEYSTORE_FILE);  
  50.             outputKeyStore.store(out, nPassword);  
  51.             out.close();  
  52.         } catch (Exception e) {  
  53.             e.printStackTrace();  
  54.         }  
  55.     }  
  56.   
  57.     public static void coverToPfx() {  
  58.         try {  
  59.             KeyStore inputKeyStore = KeyStore.getInstance("JKS");  
  60.             FileInputStream fis = new FileInputStream(JKS_KEYSTORE_FILE);  
  61.             char[] nPassword = null;  
  62.             if ((KEYSTORE_PASSWORD == null)  
  63.                     || KEYSTORE_PASSWORD.trim().equals("")) {  
  64.                 nPassword = null;  
  65.             } else {  
  66.                 nPassword = KEYSTORE_PASSWORD.toCharArray();  
  67.             }  
  68.             inputKeyStore.load(fis, nPassword);  
  69.             fis.close();  
  70.             KeyStore outputKeyStore = KeyStore.getInstance("PKCS12");  
  71.             outputKeyStore.load(null, KEYSTORE_PASSWORD.toCharArray());  
  72.             Enumeration enums = inputKeyStore.aliases();  
  73.             while (enums.hasMoreElements()) { // we are readin just one  
  74.                                                 // certificate.  
  75.                 String keyAlias = (String) enums.nextElement();  
  76.                 System.out.println("alias=[" + keyAlias + "]");  
  77.                 if (inputKeyStore.isKeyEntry(keyAlias)) {  
  78.                     Key key = inputKeyStore.getKey(keyAlias, nPassword);  
  79.                     Certificate[] certChain = inputKeyStore  
  80.                             .getCertificateChain(keyAlias);  
  81.                     outputKeyStore.setKeyEntry(keyAlias, key,  
  82.                             KEYSTORE_PASSWORD.toCharArray(), certChain);  
  83.                 }  
  84.             }  
  85.             FileOutputStream out = new FileOutputStream(PFX_KEYSTORE_FILE);  
  86.             outputKeyStore.store(out, nPassword);  
  87.             out.close();  
  88.         } catch (Exception e) {  
  89.             e.printStackTrace();  
  90.         }  
  91.     }  
  92.   
  93.     public static void main(String[] args) {  
  94.         // coverToPfx(); //jks to pfx  
  95.         coverTokeyStore(); // pfx to jks  
  96.     }  
  97. }  

文章出处：http://gwh-08.iteye.com/blog/1517593

叶卡捷琳娜二世 知乎 叶卡捷琳娜二世 知乎
原创粉丝点击
热门IT博客
php分页固定套路php分页固定套路
python 字符串转成数字python 字符串转成数字
魔镜是啥软件
网络切换软件
redis 数据有效期
专业绘画软件下载
花桥爱知国际开发商
龙腾管家淘宝
淘宝店名取什么好记
asp.net vb 跳转页面
农村淘宝广告牌
天谕捏脸数据怎么用
2015年网络交易额
西安 it制造业
java开源项目源码下载
堆排序学生成绩java
java解析json数组对象
运营数据周报模板
苹果mac充电正常灯不亮
淘宝怎么查自己的排名
热门问题 老师的惩罚 人脸识别 我在镇武司摸鱼那些年 重生之率土为王 我在大康的咸鱼生活 盘龙之生命进化 天生仙种 凡人之先天五行 春回大明朝 姑娘不必设防，我是瞎子 撇了怎么办咸菜 尿结石打完还疼怎么办 得了痛风怎么办 啤酒海鲜过敏怎么办 卤水糖放多了怎么办 藕颜色发黑怎么办 怎么办土豆丝好吃 海带丝干怎么办 麻酱结块怎么办 太阳花来年怎么办 铁锅开锅没开好 怎么办 汽车钢圈漏气怎么办 头皮油怎么办 没有高筋粉怎么办 木门门边坏了怎么办 汽车修理资格证怎么办 做兼职拖欠工资怎么办 高中生怎么办医保 卖不完的凉菜怎么办 吃葡萄干上火怎么办 豆腐皮干了怎么办 干豆腐冻完硬怎么办 糖醋豆腐皮怎么办 黑白木耳怎么办 嘴巴干燥开裂怎么办 过敏起包很痒怎么办 嘴巴老是干起皮怎么办 凉皮凉菜怎么办 芝麻酱不香是怎么办 凉拌拉皮儿怎么办 做双皮奶剩蛋黄怎么办 电饭锅饭煮硬了怎么办 米饭软了怎么办 饭太稀了怎么办 饭煮太稀了怎么办 糯米饭煮太烂了怎么办 糯米饭水放多了怎么办 金毛狗拉稀呕吐怎么办 金毛刚满月拉稀怎么办 凉粉不凝固怎么办 米饭煮太稀了怎么办

程序博客网，程序员的互联网技术博客家园。csdn论坛精品 msdn技术资料都在这里