Tomcat配置https之 JDK SSL证书生成与验证

关于证书

SSL证书通过在客户端浏览器和Web服务器之间建立一条SSL安全通道（Secure socket layer(SSL),安全协议是由Netscape Communication公司设计开发。该安全协议主要用来提供对用户和服务器的认证；对传送的数据进行加密和隐藏；确保数据在传送中不被改变，即数据的完整性，现已成为该领域中全球化的标准。由于SSL技术已建立到所有主要的浏览器和WEB服务器程序中，因此，仅需安装服务器证书就可以激活该功能了）。即通过它可以激活SSL协议，实现数据信息在客户端和服务器之间的加密传输，可以防止数据信息的泄露。保证了双方传递信息的安全性，而且用户可以通过服务器证书验证他所访问的网站是否是真实可靠。

证书分为两种，一种是花钱向认证的机构购买的证书，服务端如果使用的是这类证书的话，那一般客户端不需要做什么，用HTTPS进行请求就行了，苹果内置了那些受信任的根证书的。另一种是自己制作的证书，使用这类证书的话是不受信任的（当然也不用花钱买），因此需要我们在代码中将该证书设置为信任证书。

tomcat实现SSL认证 

Tomcat配置单向的ssl方式

 生成服务器证书

1、生成密钥文件.keystore

从命令行窗口进入到jdk安装目录下的bin，

keytool -genkey -v -alias tomcat -keyalg RSA -keystore /usr/local/ssl/tomcat.keystore -validity 365

接着根据提示输入信息：
keystore密码
证书发行者信息：名字与姓氏（请输入域名。如www.cnblogs.com）,组织单位名称,组织名称,城市或区域名称,州或省份名称,单位的两字母国家代码
私钥的密码

 关于keytool命令：

Keytool 是一个Java数据证书的管理工具 ,Keytool将密钥（key）和证书（certificates）存在一个称为keystore的文件中在keystore里，包含两种数据:密钥实体（Key entity）-密钥（secret key）或者是私钥和配对公钥（采用非对称加密）可信任的证书实体（trusted certificate entries）-只包含公钥.
JDK中keytool常用参数说明（不同版本有差异，详细可参见【附录】中的官方文档链接）:

-genkey 在用户主目录中创建一个默认文件”.keystore”,还会产生一个mykey的别名，mykey中包含用户的公钥、私钥和证书(在没有指定生成位置的情况下,keystore会存在用户系统默认目录)
-alias 产生别名 每个keystore都关联这一个独一无二的alias，这个alias通常不区分大小写
-keystore 指定密钥库的名称(产生的各类信息将不在.keystore文件中)
-keyalg 指定密钥的算法 (如 RSA DSA，默认值为：DSA)
-validity 指定创建的证书有效期多少天(默认 90)
-keysize 指定密钥长度 （默认 1024）
-storepass 指定密钥库的密码(获取keystore信息所需的密码)
-keypass 指定别名条目的密码(私钥的密码)
-dname 指定证书发行者信息 其中： “CN=名字与姓氏,OU=组织单位名称,O=组织名称,L=城市或区域名称,ST=州或省份名称,C=单位的两字母国家代码”
-list 显示密钥库中的证书信息 keytool -list -v -keystore 指定keystore -storepass 密码
-v 显示密钥库中的证书详细信息
-export 将别名指定的证书导出到文件 keytool -export -alias 需要导出的别名 -keystore 指定keystore -file 指定导出的证书位置及证书名称 -storepass 密码
-file 参数指定导出到文件的文件名
-delete 删除密钥库中某条目 keytool -delete -alias 指定需删除的别 -keystore 指定keystore – storepass 密码
-printcert 查看导出的证书信息 keytool -printcert -file /usr/local/ssl/tomcat.crt
-keypasswd 修改密钥库中指定条目口令 keytool -keypasswd -alias 需修改的别名 -keypass 旧密码 -new 新密码 -storepass keystore密码 -keystore sage
-storepasswd 修改keystore口令 keytool -storepasswd -keystore /usr/local/ssl/tomcat.keystore(需修改口令的keystore) -storepass pwdold(原始密码) -new pwdnew(新密码)
-import 将已签名数字证书导入密钥库 keytool -import -alias 指定导入条目的别名 -keystore 指定keystore -file 需导入的证书

2、将.keystore导入到证书

keytool -export -file /usr/local/ssl/tomcat.crt -alias tomcat -keystore /usr/local/ssl/tomcat.keystore

根据提示输入storepass,之后显示：

Certificate stored in file </usr/local/ssl/tomcat.crt>

3、将证书tomcat.crt导入到JVM中

keytool -import -keystore ../jre/lib/security/cacerts -file /userdata/ssl/tomcat.crt -alias tomcat

*linux或Mac，需要root权限时，加上sudo keytool -import -keystore ../jre/lib/security/cacerts -file /userdata/ssl/tomcat.crt -alias tomcat

Enter keystore password:changeit

从JVM删除证书的命令：

keytool -delete -alias tomcat -keystore ../jre/lib/security/cacerts -storepass changeit

4.配置tomcat https开启

按照以上方法证书生成后，我们再配置tomcat。

单向认证如下：

 <Connector port="8443" protocol="org.apache.coyote.http11.Http11Protocol"

               maxThreads="150" SSLEnabled="true" scheme="https" secure="true"

               clientAuth="false" sslProtocol="TLS" 

    keystoreFile="/usr/local/ssl/tomcat.keystore" keystorePass="密码库密钥"  />

 其中，clientAuth指定是否需要验证客户端证书，如果该设置为“false”，则为单向SSL验证，SSL配置可到此结束。如果clientAuth设置为“true”，表示强制双向SSL验证，必须验证客户端证书，但服务器不会颁发证书必须由客户端导入。如果clientAuth设置为“want”，则表示可以验证客户端证书，但如果客户端没有有效证书，也不强制验证。 注意：浏览器的高级选型中要启用TLS加密方式。

Tomcat支持HTTPS双向认证：

配置Tomcat支持HTTPS双向认证（服务器将认证客户端证书）： 修改tomcat的conf目录里的server.xml文件（$TOMCAT_HOME/conf/server.xml），找到类似下面内容的配置处，添加配置如下：

<Connector port="8443" maxThreads="150" minSpareThreads="25" maxSpareThreads="75" enableLookups="false" disableUploadTimeout="true" acceptCount="100" debug="0" scheme="https" secure="true" clientAuth="false" sslProtocol="TLS" keystoreFile="conf/tomcat.p12" keystorePass="111111" keystoreType="PKCS12" truststoreFile="conf/truststore.jks" truststorePass="111111" truststoreType="JKS" />

keystore文件转换格式：.keystore->.p12->.pem-》pk8+x509.pem

第一步：.keystore->.p12 

keytool   -importkeystore -srckeystore tomcat.keystore   -destkeystore tmp.p12 -srcstoretype JKS  -deststoretype PKCS12 

第二步： .p12->.pem

使用openssl命令

openssl pkcs12 -in tmp.p12 -nodes -out tmp.rsa.pem 

接下来打开文件tmp.rsa.pem

-----BEGIN CERTIFICATE-----
...
-----END CERTIFICATE-----

复制“BEGIN CERTIFICATE”  “END CERTIFICATE” 到（新建个文件） cert.x509.pem

-----BEGIN RSA PRIVATE KEY-----
...
-----END RSA PRIVATE KEY-----

复制 “BEGIN RSA PRIVATE KEY”   “END RSA PRIVATE KEY” 到（同上） private.rsa.pem

第三步：生成pk8格式的私钥 

openssl pkcs8 -topk8 -outform DER -in     private.rsa.pem -inform PEM -out private.pk8 -nocrypt 
或
openssl pkcs8 -topk8 -outform DER -in private.rsa.pem -inform PEM -out private.pk8  

-nocrypt：加上这个参数，则设定key不加密。