Tomcat 实现双向SSL认证

大概思路：

使用openssl生产CA证书，使用keytool生产密钥库

实验环境：RHEL6.4+Tomcat8

一、生成CA根证书，并自签名

1、生成CA密钥

# genrsa [产生密钥命令] -des3 [加密算法] -out[密钥文件输出路径] 512 [密钥位数]

openssl genrsa -des3 -out root.key 512

#可通过下面语句清除密码

openssl rsa -in root.key -out root.key

2、生成CA证书请求文件

# req[产生证书命令] -new[新生成] -key[私钥文件路径] -out[证书文件输出路径]

openssl req -new -key root.key -out root.csr

3、生成CA证书（自签名）root.crt

# x509[签发x509证书命令] -req[输入待签发证书] -days[证书有效期] -signkey[自签发密钥文件路径] 

#-in[输入待签发证书文件路径] -out[产生x509证书文件输出路径]

openssl x509 -req -days 3650 -sha1 -extensions v3_ca -signkey root.key -in root.csr -out root.crt

二、生成服务器端证书

1、生成密钥对

# -genkey[产生密钥对] -alias[密钥对别名] -validity[密钥有效期] -keyalg[密钥算法参数] -keysize[密钥位数]
# -keypass[密钥保护密码]- storepass[存储密码]
# -dname[别名相关附加信息,其中cn是服务器的名字一定要与WEB服务器中设置的一样] -keystore[密钥存储文件路径]

keytool -genkey -alias server -validity 720 -keyalg RSA -keysize 512 -keypass tomcat -storepass tomcat -keystore server.jks

2、生成证书请求文件

# -certreq[产生待签名证书] -alias[证书别名] -sigalg[证书算法参数] -file [产生文件输出路径]

# -keypass[密钥保护密码] -keystore[存储文件路径] -storepass[存储密码]

keytool -certreq -alias server -sigalg MD5withRSA -file server.csr -keypass tomcat -keystore server.jks -storepass tomcat

3、使用CA证书为服务器证书签名

# x509[签发x509证书命令] -req[输入待签发证书] -in[输入待签发证书文件路径] -out[产生x509证书文件输出路径]
# -CA[签发根证书] -CAkey[根证书密钥文件] -days[证书有效期] -CAserial[CA序列号文件]

#CA序列号文件可以自己手工创建一个文本文件，并写入初始值01；或者使用“-set_serial 1” 参数手工指定为1，后续生成时+1

openssl x509 -req -in server.csr -out server.crt -CA root.crt -CAkey root.key -days 365 -CAserial root.serial -sha1 -trustout

4、将CA证书导入服务器密钥库

# -import[导入命令] -v trustcacerts[导入信任证书] -storepass[存储密码] -keypass[密钥保护密码]
# -alias[服务器证书的别名] -file[证书文件路径] -keystore[导入文件路径] -noprompt[不提示"您仍然想要将它添加到自己的keystore 吗？"]

keytool -import -v -trustcacerts -storepass tomcat -keypass tomcat -alias root -file root.crt -keystore server.jks

5、将服务端证书导入服务器密钥库

# -import[导入命令] -v trustcacerts[导入信任证书] -storepass[存储密码] -keypass[密钥保护密码]
# -alias[服务器证书的别名] -file[证书文件路径] -keystore[导入文件路径]

keytool -import -v -trustcacerts -storepass tomcat -keypass tomcat -alias server -file server.crt -keystore server.jks

6、将CA证书导入信任密钥库

# -import[导入命令] -v trustcacerts[导入信任证书] -storepass[存储密码] -keypass[密钥保护密码]

# -alias[服务器证书的别名] -file[证书文件路径] -keystore[导入文件路径] -noprompt[不提示"您仍然想要将它添加到自己的keystore 吗？"]

keytool -import -v -trustcacerts -storepass tomcat -keypass tomcat -alias server-ca -file root.crt -keystore servertrust.jks

到这一步产生两个密钥库文件：server.jks、servertrust.jks，在tomcat的SSL配置中会用到，这里的两个密钥文件可以合并为一个，也就是将CA和服务器证书导入同一个密钥文件，然后客户端证书也导入该文件，这样在修改tomcat配置时，密钥文件和信任密钥文件就可以指定为同一个文件了。

三、服务端证书的另一种生成方式

可通过openssl生成服务端证书，再使用keytool将证书转换格式导入keysotre密钥库，后续客户端证书同上。

#生成服务端密钥

openssl genrsa -des3 -out server.key 512

#生成服务端证书申请文件

openssl req -new -out server.csr -key server.key

#使用CA对服务端证书进行签名

openssl x509 -req -in server.csr -out server.crt -CA root.crt -CAkey root.key -days 365 -CAserial root.serial -sha1 -trustout

#将服务端证书导出为windows可识别的.p12格式

openssl pkcs12 -export -in server.crt -inkey server.key -out server.p12 -password tomcat

#使用keytool对服务端证书进行格式转换，并导入keystore

# -importkeystore[从其他密钥库导入一个或多个条目] -srckeystore[源密钥库名称] -srcstoretype[源密钥库类型] -srcstorepass[源密钥库口令]

# -destkeystore[目标密钥库名称] -deststoretype[目标密钥库类型] -deststorepass[目标密钥库口令]

keytool -importkeystore -v -srckeystore server.p12 -srcstoretype pkcs12 -srcstorepass tomcat -destkeystore server.jks -deststoretype jks -deststorepass tomcat

#将CA根证书导入密钥库

keytool -import -v -trustcacerts -keypass tomcat -storepass tomcat -alias root -file root.crt -keystore server.jks

 

四、修改TOMCAT配置

修改conf/server.xml配置文件如下：

    <Connector port="8443" protocol="org.apache.coyote.http11.Http11NioProtocol"

               maxThreads="150" SSLEnabled="true" scheme="https" secure="true"

               keystoreFile="conf/server.jks" keystorePass="tomcat"

               truststoreFile="conf/servertrust.jks" truststorePass="tomcat"

               clientAuth="flase" sslProtocol="TLS" />

现在就已经实现了tomcat单向SSL认证了，若要实现双向认证，需要将clientAuth值改为true。

五、生成客户端证书

1、生成客户端密钥

# genrsa [产生密钥命令] -out[密钥文件输出路径] 512 [密钥位数]

openssl genrsa -des3 -out client.key 512

2、生成客户端证书申请文件

# req[产生证书命令] -new[新生成] -out[证书文件输出路径] -key[私钥文件路径]

openssl req -new -out client.csr -key client.key

3、使用CA证书为客户端证书签名

# x509[签发x509证书命令] -req[输入待签发证书] -in[输入待签发证书文件路径] -out[产生x509证书文件输出路径]
# -signkey [密钥文件路径]
# -CA[签发根证书] -CAkey[根证书密钥文件] -days[证书有效期] -CAserial[CA序列号文件]

openssl x509 -req -in client.csr -out client.crt -signkey client.key -CA root.crt -CAkey root.key -days 365 -CAserial root.serial

4、将客户端证书导出为windows可识别的格式.p12

# pkcs12[生成PKS12格式证书命令] -export[导出文件] -clerts[仅导出client证书]
# -in[输入的client证书文件路径] -inkey[client证书密钥文件路径] -out[导出PKS12格式文件路径]

openssl pkcs12 -export -clcerts -in client.crt -inkey client.key -out client.p12

在导出时可以设置密码，只有知道该密码才能将证书导入浏览器。

 5、将签名之后的证书文件client.crt导入至信任秘钥库中（这里由于没有去ca认证中心购买个人证书，所以只有导入信任库才可进行双向ssl交互，实验亲自验证过）
keytool -import -alias client -trustcacerts  -storepass tomcat -file client.crt -keystore servertrust.jks

重新拷贝信任密钥库文件servertrust.jks到tomcat配置文件指定的位置

六、安装客户端证书并修改tomcat配置

1、将p12格式的客户端证书导入浏览器（双击安装即可）

2、将tomcat SSL配置部分clientAuth值改为“true”。

3、实现SSL双向认证

由于这里的证书均是自己生成的，所以浏览器会提示证书错误类的字样属于正常现象。