如何用Tomcat和Openssl构建HTTPS双向认证环境（HTTPS客户端认证）

本文将介绍如何利用Tomcat的HTTPS功能，和一个自己创建的CA，来构建WEB服务器证书和个人数字证书，最终建成一个HTTPS双向认证环境（可以用于测试目的）。本文构建HTTPS双向认证的业务流程大致如下：

1. 创建WEB服务器公钥密钥，并生成服务器证书请求。

2. 利用自建的CA，根据服务器证书请求为服务器签发服务器证书。然后把服务器证书导回WEB服务器中。

3. 利用openssl生成客户端（IE）使用的个人数字证书，也由同样的CA签发个人证书。

4. 将个人数字证书（PKCS12格式，包含密钥）导入到浏览器（IE/Firefox）后，就可以进行HTTPS测试了。

一. 选择HTTPS WEB服务器

这里我们选择了Tomcat。当然还有其它方法，如Apache+Tomcat，让Apache配置成HTTPS模式，而Tomcat只做HTTP业务处理，这样有利于提高性能，但本文只建造一个简单的HTTPS测试环境，只用Tomcat自带的HTTPS功能。（当然，我以后会考虑研究一下Apache+Tomcat模式，到时再和大家一起分享经验）

二. 创建一个自己的CA

创建一个自己的CA来模拟HTTPS构建环境（利用CA签发证书），不仅有利于了解PKI概念，而且有利于了解真正应用的业务流程。关于如何创建一个简单的测试用CA我已在本博客发文，
题目为《Linux下OpenSSL
安装图文详解》，请参考/article/11729790.html 这里就不再重述了。

题目为《利用openssl创建一个简单的CA》，请参考/article/11729791.html 这里就不再重述了。

另外，如果你真的觉得建一个CA比较麻烦，且只使用几个个人数字证书的话，当然也可以不建CA，下面章节也会提到不用CA如何构建双向认证。

三. 创建服务器公钥密钥及颁发服务器证书

实际上有两种方法生成服务器证书，一种是用JDK带的keytool，另一种是用openssl命令生成pkcs12格式的证书。个人更喜欢第二种，因为用openssl生成的pkcs12格式服务器证书可以导出明文的服务器密钥，便于用wireshark（ethereal的新名字）查看HTTPS里被加密过的HTTP消息。keytool生成的keystore也有办法导出密钥，但还要编程去弄，太麻烦了。

方法一，用keytool创建服务器公钥密钥并用CA签发服务器证书：

keytool是JDK自带的工具程序，确保keytool已在PATH路径里（或在以下命令里指明keytool的全路径，如$JAVA_HOME/bin/keytool）。

1. 用keytool生成服务器公钥密钥：

在TOMCAT的conf目录里执行以下命令（假设conf目录路径为$TOMCAT_HOME/conf/）：

keytool -keystore tomcat.jks -keypass 222222 -storepass 222222 -alias tomcat -genkey -keyalg RSA -dname "CN=servername, OU=servers, O=ABCom"

注：其中DN（证书的唯一取别名）里的CN最好是服务器的域名地址或IP地址（因为浏览器在发现服务器证书的CN与访问服务器的域名或IP不符时，会报一个警告，不过这个问题不大）。

2. 生成服务器证书请求，并让测试CA签发服务器证书

实际上本步骤也可以省略，唯一不好的结果是用户在开始访问服务器HTTPS服务时，会跳一个窗口警告用户，用户可以在该窗口里看到服务器证书是一个自签名的证书（用服务器私钥自己给自己签发的证书，keytool生成公钥密钥时自动生成这种证书）。但只要用户选择“信任该证书”，也照样可以与服务器建立HTTPS连接。

但正规的HTTPS服务器，还是应该申请一个服务器证书比较好。

2.1 生成服务器证书请求：

keytool -keystore tomcat.jks -keypass 222222 -storepass 222222 -alias tomcat -certreq -file serverreq.pem

以下命令可以查看一下证书请求的内容：

openssl req -in serverreq.pem -text -noout

2.2 用测试CA签署服务器证书：

把serverreq.pem拷贝到CA的某目录下，我们就可以按照《利用openssl创建一个简单的CA》里的“CA的日常操作”的“1. 根据证书申请请求签发证书”章节进行证书签发了：

openssl ca -in serverreq.pem -out servercert.pem -config "$HOME/testca/conf/testca.conf"

执行过程中需要输入CA私钥的保护密码。

2.3 把服务器证书导回到服务器的keystore里：

前面命令里生成的servercert.pem即为服务器证书。从CA处把该文件及CA的证书（$HOME/testca/cacert.pem）拿来，一起放到Tomcat的conf目录里。

另外导入前，还有一个工作需要做，需要手工编辑servercert.pem证书文件，把‘-----BEGIN CERTIFICATE-----’该行前的所有内容都删掉，因为keytool不认得这些说明性的内容。

导入前也可以执行命令查看一下证书内容：

keytool -printcert -file servercert.pem

导入服务器证书：

先导入CA的证书：

keytool -keystore tomcat.jks -keypass 222222 -storepass 222222 -alias ca -import -trustcacerts -file cacert.pem

再导入服务器证书：

keytool -keystore tomcat.jks -keypass 222222 -storepass 222222 -alias tomcat -import -file servercert.pem

导入后可以用以下命令查看一下keystore里的内容：

keytool -keystore tomcat.jks -keypass 222222 -storepass 222222 -list -v

3. 创建服务器信任的客户端CA证书库：

用keytool创建一个证书库，里面存放服务器信任的CA证书，也就是只有这些CA签发的客户端个人证书才被服务器信任，才能通过HTTPS访问服务器。这就是“HTTPS服务器验证客户端证书”的关键配置。注：如果只是测试目的，为了简单期间，也可以直接把客户端未经CA签发的自签名证书直接导入信任证书库里。

这里，我们假设客户端个人证书（后续章节介绍如何生成客户端个人证书）也是由测试CA签发的，所以我们要把cacert.pem证书导入信任证书库：

keytool -keystore truststore.jks -keypass 222222 -storepass 222222 -alias ca -import -trustcacerts -file cacert.pem

可以用以下命令查看信任证书库内容：

keytool -keystore truststore.jks -keypass 222222 -storepass 222222 -list -v

4. 配置Tomcat支持HTTPS双向认证（服务器将认证客户端证书）：

修改tomcat的conf目录里的server.xml文件（$TOMCAT_HOME/conf/server.xml），找到类似下面内容的配置处，添加配置如下：

<Connector port="8443"

maxThreads="150" minSpareThreads="25" maxSpareThreads="75"

enableLookups="false" disableUploadTimeout="true"

acceptCount="100" debug="0" scheme="https" secure="true"

clientAuth="true" sslProtocol="TLS"

keystoreFile="conf/tomcat.jks" keystorePass="222222" keystoreType="JKS"

truststoreFile="conf/truststore.jks" truststorePass="222222" truststoreType="JKS" />

（题外话：其实HTTPS单向和双向认证配置的唯一区别是，把clientAuth改为false，去掉truststore的相关配置，就是单向HTTPS认证了，单向HTTPS用的可能更多，它主要在浏览器与f服务器交互的HTTP需要加密，而不需要验证客户端证书时使用。）

经以上配置后，重启tomcat，服务器就支持HTTPS双向认证了。

方法二，用openssl创建服务器公钥密钥并用CA签发服务器证书：

前面已经提到过，这种方式的好处是有利于抓包查看服务器与浏览器HTTPS交互里的HTTP信息。

其实，这种方法与《利用openssl创建一个简单的CA》里提到的制作个人数字证书方法很类似（请参考《利用openssl创建一个简单的CA》的“三.
自己生成公钥密钥，并用测试CA签发数字证书”章节）。

1. 制作服务器证书（最终形成一个pkcs12文件，包含服务器密钥、证书和CA的证书）

假设我们把服务器相关的东西生成到CA的$HOME/testca/test/server目录里：

mkdir -p "$HOME/testca/test/server"

cd "$HOME/testca/test/server"

2.1 创建服务器公钥密钥，并同时生成一个服务器证书请求：

openssl req -newkey rsa:1024 -keyout serverkey.pem -keyform PEM -out serverreq.pem /

-outform PEM -subj "/O=ABCom/OU=servers/CN=servername"

执行命令过程中输入密钥保护密码222222。

执行后可以用以下命令查看请求内容：

openssl req -in serverreq.pem -text -noout

2.2 用测试CA签署服务器证书：

把serverreq.pem拷贝到CA的某目录下，我们就可以按照《利用openssl创建一个简单的CA》里的“CA的日常操作”的“1. 根据证书申请请求签发证书”章节进行证书签发了：

openssl ca -in serverreq.pem -out servercert.pem -config "$HOME/testca/conf/testca.conf"

执行过程中需要输入CA私钥的保护密码。

执行完后可以用以下命令查看证书内容：

openssl x509 -in servercert.pem -text -noout

2.3 制作服务器pkcs12文件（包含服务器密钥、证书和CA的证书）

openssl pkcs12 -export -in servercert.pem -inkey serverkey.pem /

-out tomcat.p12 -name tomcat -CAfile "$HOME/testca/cacert.pem" /

-caname root -chain

执行过程中要输入服务器密钥的保护密码（serverkey.pem）和新生成的tomcat.p12的保护密码，我们都输入222222。

创建完成后，把pkcs12文件拷贝到tomcat的conf目录下。

3. 创建服务器信任的客户端CA证书库：

同方法一的对应章节，这里，我们假设客户端个人证书（后续章节介绍如何生成客户端个人证书）也是由测试CA签发的，所以我们要把cacert.pem证书导入信任证书库：

keytool -keystore truststore.jks -keypass 222222 -storepass 222222 -alias ca -import -trustcacerts -file cacert.pem

可以用以下命令查看信任证书库内容：

keytool -keystore truststore.jks -keypass 222222 -storepass 222222 -list -v

4. 配置Tomcat支持HTTPS双向认证（服务器将认证客户端证书）：

修改tomcat的conf目录里的server.xml文件（$TOMCAT_HOME/conf/server.xml），找到类似下面内容的配置处，添加配置如下：

<Connector port="8443"

maxThreads="150" minSpareThreads="25" maxSpareThreads="75"

enableLookups="false" disableUploadTimeout="true"

acceptCount="100" debug="0" scheme="https" secure="true"

clientAuth="true" sslProtocol="TLS"

keystoreFile="conf/tomcat.p12" keystorePass="222222" keystoreType="PKCS12"

truststoreFile="conf/truststore.jks" truststorePass="222222" truststoreType="JKS" />

注意：其中keystore的keystoreType与方法一的配置不同。经以上配置后，重启tomcat，服务器就支持HTTPS双向认证了。

四. 创建用于客户端（浏览器）测试的个人数字证书（pkcs12格式）

完全按照《利用openssl创建一个简单的CA》里提到的制作个人数字证书方法来进行，请参考《利用openssl创建一个简单的CA》的“三.
自己生成公钥密钥，并用测试CA签发数字证书”章节。

1. 创建个人密钥和证书请求（证书请求里包含了公钥）

创建$HOME/testuser1目录并执行命令：（证书等都放到这个目录）

mkdir $HOME/testuser1

cd $HOME/testuser1

openssl req -newkey rsa:1024 -keyout testkey.pem -keyform PEM -out testreq.pem -outform PEM -subj "/O=TestCom/OU=TestOU/CN=testuser1"

执行过程中需要输入私钥的保护密码，假设我们输入密码： 222222

执行完后，testkey.pem即为用户的密钥，而testreq.pem即为证书请求。

可以用openssl req -in testreq.pem -text -noout查看证书请求的内容。

2. 用CA为testuser1签发个人证书

同样还在$HOME/testuser1目录下执行命令：

openssl ca -in testreq.pem -out testcert.pem -config "$HOME/testca/conf/testca.conf"

执行过程中需要输入CA的密钥保护密码（刚才设置的888888），并且最后询问你是否要给该用户签发证书时要选y。

执行完后，testcert.pem即为证书，

可以用命令openssl x509 -in testcert.pem -text -noout查看证书内容。

3. 制作PKCS12文件（个人数字证书）

我们制作的这个PKCS#12文件将包含密钥、证书和颁发该证书的CA证书。

把前几步生成的密钥和证书制作成一个pkcs12文件的方法执行命令：

openssl pkcs12 -export -in testcert.pem -inkey testkey.pem -out testuser1.p12 -name testuser1 -chain -CAfile "$HOME/testca/cacert.pem"

执行过程中需要输入保护密钥的密码（222222），以及新的保护pkcs12文件的密码（222222）。

执行完后，若要查看testuser1.p12的内容可以用命令openssl pkcs12 -in testuser1.p12

该testuser1.p12即为pkcs12文件。你可以直接拷贝到windows下，作为个人数字证书，双击导入IE后就可以使用了。

五. 用一个简单webapp来测试HTTPS

服务器证书和个人证书都准备好了，我们可以写一个简单的webapp，里面只有一个jsp，用于查看https客户端验证是否起效了。

1. 创建webapp用于测试https：

在$TOMCAT_HOME/webapps/里创建一个目录testhttps，并在testhttps目录里创建WEB-INF目录，并在该目录里创建web.xml文件如下：

文件：$TOMCAT_HOME/webapps/WEB-INF/web.xml

<?xml version="1.0" encoding="ISO-8859-1"?>

<web-app xmlns="http://java.sun.com/xml/ns/j2ee"

xmlns:xsi="http://www.w3.org/2001/XMLSchema-instance"

xsi:schemaLocation="http://java.sun.com/xml/ns/j2ee http://java.sun.com/xml/ns/j2ee/web-app_2_4.xsd"

version="2.4">

<display-name>Test HTTPS App</display-name>

</web-app>

2. 创建一个显示客户端证书信息的JSP：

在testhttps目录创建文件seecert.jsp

文件：$TOMCAT_HOME/webapps/WEB-INF/seecert.jsp

<%@ page import="java.security.cert.X509Certificate" contentType="text/html; charset=GB2312" %>

<pre>

<%

java.security.cert.X509Certificate[] certs=null;

try{

certs=(X509Certificate[])request.getAttribute("javax.servlet.request.X509Certificate");

if (certs == null) {

out.println("No certificates");

} else if (certs.length == 0) {

out.println("Certificates length is 0");

} else {

java.security.cert.X509Certificate cert = certs[0];

String dn = cert.getSubjectX500Principal().toString();

out.println("SubjectDN: " + dn);

out.println();

out.println("------------------certification detail--------------------");

out.println(cert);

out.println("----------------------------------------------------------");

}

} catch(Exception e){

out.println("Exception=" + e.getMessage());

}

%>

</pre>

3. 测试HTTPS并查看客户端证书信息：

访问URL：https://<tomcat>:8443/testhttps/seecert.jsp

在用浏览器访问该URL时，浏览器可能会跳出窗口让你选择用哪个客户端个人证书。

页面打开后，你将看到客户端证书的信息。

六. 使用wireshark（ethereal的新名称）查看HTTPS里加密的HTTP消息：

用wireshark抓包后，你可以看到HTTPS服务器与浏览器之间的HTTPS协商过程，但是HTTPS成功建立后，后续消息是加密的，如何查看加密的HTTP消息呢？你需要借助服务器的密钥（私钥）明文。

假设需要从上面提到的openssl生成的服务器证书tomcat.p12文件里导出密钥明文，生成密钥明文文件方法：

openssl pkcs12 -in tomcat.p12 -out clearserverkey.pem -nodes

然后在wireshark的协议定义里找到SSL，并在“RSA keys list”里配置如下内容：

<server_ip>,8443,http,<path_to_clearserverkey.pem>

其中：

<server_ip>——为HTTPS服务器的IP；

8443——为HTTPS（SSL）的端口；

http——表示SSL里加密的是HTTP协议；

<path_to_clearserverkey.pem>——指上一步生成的clearserverkey.pem文件的本地路径。

这样，你就能看到wireshark里的SSL协议被解密，且里面的HTTP消息也看到了。

七. 客户端证书在Tomcat里的CRL检查

请参考《Tomcat里配置CRL》（/article/11729793.html）。

以上转自：/article/8294743.html