使用 SSL 的 Tomcat 客户端身份验证

Question

我很茫然，因为我不是 Tomcat 用户。我需要使用第 3 方的 Web 服务，他们需要通过 SSL 进行客户端身份验证，因此他们生成并向我颁发了 SSL 证书。不幸的是，这只是他们支持的范围，无法给我任何关于如何实际使用它的指导。我一直在使用这个第 3 方，所以不幸的是我不得不忍受他们缺乏支持。

所以我拥有的是一个供应商为我们提供的 Java 应用程序(显然他们从来没有处理过这个)，一个在 CentOS 5.3 上运行 6.0.20 的 Tomcat 应用程序服务器，以及来自第 3 方的 SSL 证书.

此时我需要做什么？我在网上只能找到如何设置 keystore ，以便我的应用程序可以对连接到它的东西使用客户端身份验证，而不是在它需要连接到其他人时，或者如何通过端口 8443 使用 SSL(我知道如何做已经设置好了)。

Answer 1

更新:

尝试以下方式在 Tomcat 中启用客户端身份验证。

为了使 tomcat 利用客户端身份验证，我们需要三个证书。即 Tomcat 的服务器证书、浏览器的客户端证书和将签署上述两个证书的 CA 证书。在这里，我将展示如何在 Windows 中执行此操作。

有两种方法。

1. 您应该有一个 CSR 文件，即证书签名请求。您可以将其提交给证书颁发机构，如 Verisign或 Comodo或许多其他像他们一样的人。他们会给你证书。或者

2. 您可以创建自己的证书颁发机构并签署证书。但建议仅供个人使用。

您应该安装 Java 和 OpenSSL 才能执行以下步骤。

要生成证书签名请求，您应该有 key 。要生成 key ，请在 CMD 中键入以下命令。

openssl genrsa -out Serverkey.key 1024

这将生成一个文件“Serverkey.key”。 key 大小为1024。您可以根据自己的要求给它。

现在借助以下命令生成 CSR 文件。

openssl req -new -key Serverkey.key -out ServerReq.csr -config /path/to/openssl.cnf

执行此命令后，系统会要求您提供一些信息。之后，您将在您的目录中找到 CSR 文件。您可以将此文件提交给 CA。如果您这样做是为了个人用途，并且您想要拥有自己的 CA，请借助上面给出的两个命令为您的 CA 创建一个 key 和 CSR。获得 CA 的 CSR 后，您可以在以下命令的帮助下使用 CA 的 key 进行签名。

openssl x509 -req -days 365 -in CAReq.csr -signkey CAKey.key -out CA.crt

获得 CA 证书后，您可以使用它来签署其他证书。

openssl x509 -req -days 365 -CA CA.crt -CAkey CAKey.key -CAcreateserial -in ServerReq.csr -out Server.crt

您也可以对客户端证书使用相同的命令。

作为我们客户端的浏览器将接受 P12 格式的证书。 P12 格式是一个包含您的证书和 key 的文件。

要将 CRT 转换为 P12，请使用以下命令。

openssl pkcs12 -export -in Server.crt -inkey ServerKey.key -chain -CAfile CA.crt -out ServerCert.p12

在 tomcat 中，有一个包含 CA 证书的信任库，另一个是包含服务器 key 和证书(p12 文件)的 keystore 。

要将 CA 的证书导入信任库，请使用以下命令。

keytool -import -alias CertAuth -keystore caCerts.jks -file CA.crt

你可以随便给别名。请记下执行上述命令后询问时提供的密码。我们将在 server.xml 文件中使用该密码。同样适用于以下命令。

要将 p12 格式证书导入 keystore ，请使用以下命令。

keytool -importkeystore -destkeystore tomcat.keystore -srckeystore -ServerCert.p12 -srcstoretype PKCS12 -alias 1

现在，将 tomcat 的 server.xml 更改如下。

<Connector port="8443" 
           protocol="org.apache.coyote.http11.Http11NioProtocol"
           SSLEnabled="true" scheme="https" secure="true"
           truststoreFile="path/to/truststorefile" truststorePass="password" 
           keystoreFile="path/to/keystorefile" keystorePass="password"
           clientAuth="true" sslProtocol="TLS"
           />

现在，将客户端的P12格式证书导入浏览器。然后，启动tomcat服务器，尝试访问https://localhost:8443。您可以访问blog对于这个答案的详细版本。希望这会有所帮助。