linux环境下配置tomcat HTTPS协议

https简介

    它是由Netscape开发并内置于其浏览器中，用于对数据进行压缩和解压操作，并返回网络上传送回的结果。HTTPS实际上应用了Netscape的安全套接字层（SSL）作为HTTP应用层的子层。（HTTPS使用端口443，而不是象HTTP那样使用端口80来和TCP/IP进行通信。）SSL使用40 位关键字作为RC4流加密算法，这对于商业信息的加密是合适的。HTTPS和SSL支持使用X.509数字认证，如果需要的话用户可以确认发送者是谁。     也就是说它的主要作用可以分为两种：一种是建立一个信息安全通道，来保证数据传输的安全；另一种就是确认网站的真实性。

HTTPS和HTTP的区别
　　一、https协议需要到ca申请证书，一般免费证书很少，需要交费。

　　二、http是超文本传输协议，信息是明文传输，https 则是具有安全性的ssl加密传输协议。

　　三、http和https使用的是完全不同的连接方式，用的端口也不一样，前者是80，后者是443。

  四、http的连接很简单，是无状态的；HTTPS协议是由SSL+HTTP协议构建的可进行加密传输、身份认证的网络协议，比http协议安全。

SSL介绍
为Netscape所研发，用以保障在Internet上数据传输之安全，利用数据加密(Encryption)技术，可确保数据在网络上之传输过程中不会被截取及窃听。目前一般通用之规格为40 bit之安全标准，美国则已推出128 bit之更高安全标准，但限制出境。只要3.0版本以上之I.E.或Netscape浏览器即可支持SSL。

　　当前版本为3.0。它已被广泛地用于Web浏览器与服务器之间的身份认证和加密数据传输。

SSL协议位于TCP/IP协议与各种应用层协议之间，为数据通讯提供安全支持。SSL协议可分为两层：SSL记录协议（SSL Record Protocol）：它建立在可靠的传输协议（如TCP）之上，为高层协议提供数据封装、压缩、加密等基本功能的支持。SSL握手协议（SSL Handshake Protocol）：它建立在SSL记录协议之上，用于在实际的数据传输开始前，通讯双方进行身份认证、协商加密算法、交换加密密钥等。

连接分为两个阶段，即握手和数据传输阶段。

握手阶段对服务器进行认证并确立用于保护数据传输的加密密钥。必须在传输任何应用数据之前完成握手。一旦握手完成，数据就被分成一系列经过保护的记录进行传输。

SSL协议提供的服务主要有哪些？
　　1）认证用户和服务器，确保数据发送到正确的客户机和服务器

　　2）加密数据以防止数据中途被窃取

　　3）维护数据的完整性，确保数据在传输过程中不被改变。

https的实现原理
有两种基本的加解密算法类型：

1）对称加密：密钥只有一个，加密解密为同一个密码，且加解密速度快，典型的对称加密算法有DES、AES等；

2）非对称加密：密钥成对出现（且根据公钥无法推知私钥，根据私钥也无法推知公钥），加密解密使用不同密钥（公钥加密需要私钥解密，私钥加密需要公钥解密），相对对称加密速度较慢，典型的非对称加密算法有RSA、DSA等。

https通信的优点：
1）客户端产生的密钥只有客户端和服务器端能得到；

2）加密的数据只有客户端和服务器端才能得到明文；

3）客户端到服务端的通信是安全的。

加密过程：

在https的通信过程中，组合使用了公用密钥方式加密和共享密钥方式加密这两种技术。公用密钥方式要比共享密钥方式慢得多，因此使用公用密钥来完成共享密钥的交换。公用密钥是从证书中获得的。拿到共享密钥之后，所有的内容之间的通信都会使用共享密钥来进行加密和解密。公用密钥的作用就是为了安全的交换共享密钥，共享密钥是用来通信内容的加密和解密。这样既确保了通信之间的安全，也确保了加密和解密的效率。

配置jdk与tomcat环境变量

export JAVA_HOME=/usr/java/jdk1.8.0_92export JRE_HOME=$JAVA_HOME/jreexport TOMCAT_HOME=/var/apache-tomcat-7.0.63export CATALINA_HOME=/var/apache-tomcat-7.0.63export CATALINA_BASE=/var/apache-tomcat-7.0.63PATH=$PATH:$JAVA_HOME/bin:$JRE_HOME/binCLASSPATH=:$JAVA_HOME/lib/dt.jar:$JAVA_HOME/bin/tools.jar:$JRE_HOME/libexport CLASSPATH=:CLASSPATH:$CATALINA_HOME/common/libexport PATH=$PATH:$JAVA_HOME/bin:$JRE_HOME:$TOMCAT_HOME/bin

Tomcat配置双向的ssl方式

第一步：使用keytool为Tomcat生成证书

[root@iZ25fe0s3erZ apache-tomcat-7.0.63]# keytool -alias tomcat -genkey -keyalg RSA -keysize 1024 -sigalg SHA1withRSA -validity 3650 -keystore /var/apache-tomca t-7.0.63/tomcat.keystoreEnter keystore password:Re-enter new password:What is your first and last name?  输入你服务器使用的域名[Unknown]: 123.comWhat is the name of your organizational unit?  输入组织名称[Unknown]: cmmWhat is the name of your organization? 输入单位名称[Unknown]: cmmWhat is the name of your City or Locality?  输入你所在的城市[Unknown]: beijingWhat is the name of your State or Province? 输入你所在的县[Unknown]: beijingWhat is the two-letter country code for this unit?  输入你所在国家的编码[Unknown]: CNIs CN=yingyangmeishi.chaomeiman.com, OU=chaomeiman, O=chaomeiman, L=beijing, ST= beijing, C=CN correct?[no]: YEnter key password for <tomcat>        (RETURN if same as keystore password):keytool -validity 3650 -genkey -v -alias tomcat -keyalg RSA -keystore /usr/local/tomcat/tomcat.keystore -dname   "CN=要代理的域名,OU=xxx,O=xxx,L=xxx,ST=xxx,c=cn" -storepass xxx -keypass xxx

第二步：为客户端生成证书
为浏览器生成证书，以便让服务器来验证它。

keytool -validity 3650 -genkeypair -v -alias client -keyalg RSA -storetype PKCS12 -keystore /usr/local/tomcat/client.p12 -dname "CN=xxxx，OU=xxx,O=xxx,L=xxx,ST=xxx,c=cn" -storepass xxx -keypass xxxx

第三步：让服务器信任客户端证书
由于是双向SSL认证，服务器必须要信任客户端证书，因此，必须把客户端证书添加为服务器的信任认证。由于不能直接将PKCS12格式的证书库导入，我们必须先把客户端证书导出为一个单独的CER文件，使用如下命令：

keytool -export -alias tomcat -keystore /usr/local/tomcat/tomcat.keystore -file /usr/local/tomcat/tomcat.cer

然后将该文件导入到服务器的证书库，添加为一个信任证书：

keytool -export -v -alias client -keystore /usr/local/tomcat/client.p12 -storetype PKCS12 -storepass xxx -rfc -file /usr/local/tomcat/client.cerkeytool -import -v -alias client -file /usr/local/tomcat/client.cer -keystore /usr/local/tomcat/tomcat.keystore -storepass xxx

第四步：
让服务器信任服务端证书(同第三步)

keytool -export -v -alias tomcat -keystore /usr/local/tomcat/tomcat.keystore -storepass xxx -rfc -file /usr/local/tomcat/server.cerkeytool -import -v -alias tomcat -file /usr/local/tomcat/server.cer -keystore /usr/local/tomcat/client.truststore -storepass xxx

第五步：
list命令查看服务器的证书库，我们可以看到两个输入，一个是服务器证书，一个是受信任的客户端证书：

keytool list -keystore /usr/local/tomcat/tomcat.keystore

第六步：
在tomcat的server.xml文件中配置相关参数

 <Connector port="443" protocol="org.apache.coyote.http11.Http11Protocol"            maxThreads="150" SSLEnabled="true" scheme="https" secure="true"        keystoreFile="/tomcat.keystore" clientAuth="false" sslProtocol="TLS" keystorePass="xxxx"/> <Connector connectionTimeout="20000" port="80" protocol="HTTP/1.1" redirectPort="443"/>