tomcat双向认证

一、tomcat开启双向认证配置

            1、找到server.xml文件，取消注释

                    <Connector port="8443" protocol="HTTP/1.1" SSLEnabled="true"

                                   maxThreads="150" scheme="https" secure="true"

                                   clientAuth="false" sslProtocol="TLS" />

                    修改为：

                      <Connector port="8443" protocol="HTTP/1.1" SSLEnabled="true"

                                    maxThreads="150" scheme="https" secure="true"

                                    clientAuth="false" sslProtocol="TLS"

                                    keystoreFile="D:\\tomcat.keystore" keystorePass="888888"

                                   
truststoreFile="D:\\tomcat.keystore" truststorePass="888888"/>

                    注释掉原先的8080

                         <Connector port="8080" protocol="HTTP/1.1"

                                    connectionTimeout="20000"

                                    redirectPort="8443" />

                  属性说明：

                           clientAuth:设置是否双向验证，默认为false，设置为true代表双向验证

                           keystoreFile:服务器证书文件路径

                           keystorePass:服务器证书密码

                           truststoreFile:用来验证客户端证书的根证书，此例中就是服务器证书

                           truststorePass:根证书密码

二、生成服务器证书

                工具：

                          keytool （Windows下路径：%JAVA_HOME%/bin/keytool.exe）

                环境：

                          Windows10 专业版    tomcat6      jdk6      IE11

                命令：

                          keytool -genkey -v -alias server -keyalg RSA -keystore D:\server.keystore -validity 36500

                      D:\server.keystore的含义是秘钥库文件，server.keystore名称可自定义

                      36500表示100年，默认值是90天

                 样例：

                        

 三、生成客户端证书

                   命令：

                          keytool -genkey -v -alias mykey -keyalg RSA -storetype PKCS12 -keystore D:\client.key.p12

                    样例：

                         


                安装客户端证书client.key.p12

四、让服务器端信任客户端证书

               把客户端证书导出为cer文件

                       由于是双向SSL认证，服务器必须要信任客户端证书，因此，必须把客户端证书添加为服务器的信任认证。因不能直接将PKCS12格式的证书库导入服务器证书库，将客户端证书导出为一个单独的CER文件

                命令：

                        keytool -export -alias mykey -keystore D:\client.key.p12 -storetype PKCS12 -storepass 888888 -rfc -file D:\client.key.cer

                 把cre文件 导入到服务器证书库

                命令：keytool -import -v -file D:\client.key.cer -keystore D:\server.keystore

                样例：

                    


                检查安装结果：

                         通过list命令查看服务器的证书库，可以看到两个证书，一个是服务器证书，一个是受信任的客户端证书：

                 命令：

                         keytool -list -keystore D:\serverkeystore

                   样例：

                         由于是双向SSL认证，客户端也要验证服务器证书，因此，必须把服务器证书添加到浏览的“受信任的根证书颁发机构”。由于不能直接将keystore格式的证书库导入，必须先把服务器证书导出为一个单独的CER文件，使用如下命令：

                        


                    在客户端安装服务器证书

五、测试

                访问：https://localhost:8443/

服务器的证书与网址不相符问题需要理解浏览器做了什么：

1、浏览器将自己支持的一套加密规则发送给网站。

2、网站从中选出一组加密算法与HASH算法，并将自己的身份信息以证书的形式发回给浏览器。证书里面包含了网站地址，加密公钥，以及证书的颁发机构等信息。

3、获得网站证书之后浏览器要做以下工作：

      a)  验证证书的合法性（颁发证书的机构是否合法，证书中包含的网站地址是否与正在访问的地址一致等），如果证书受信任，则浏览器栏里面会显示一个小锁头，否则会给出证书不受信的提示。

      b)  如果证书受信任，或者是用户接受了不受信的证书，浏览器会生成一串随机数的密码，并用证书中提供的公钥加密。

      c)  使用约定好的HASH计算握手消息，并使用生成的随机数对消息进行加密，最后将之前生成的所有信息发送给网站。
引用：http://blog.csdn.net/xxd851116/article/details/18701731

六、keytool命令详解

                keytool用法：

                          

-certreq     [-v] [-protected]  
             [-alias <别名>] [-sigalg <sigalg>]  
             [-file <csr_file>] [-keypass <密钥库口令>]  
             [-keystore <密钥库>] [-storepass <存储库口令>]  
             [-storetype <存储类型>] [-providername <名称>]  
             [-providerclass <提供方类名称> [-providerarg <参数>]] ...  
             [-providerpath <路径列表>]  
  
-changealias [-v] [-protected] -alias <别名> -destalias <目标别名>  
             [-keypass <密钥库口令>]  
             [-keystore <密钥库>] [-storepass <存储库口令>]  
             [-storetype <存储类型>] [-providername <名称>]  
             [-providerclass <提供方类名称> [-providerarg <参数>]] ...  
             [-providerpath <路径列表>]  
  
-delete      [-v] [-protected] -alias <别名>  
             [-keystore <密钥库>] [-storepass <存储库口令>]  
             [-storetype <存储类型>] [-providername <名称>]  
             [-providerclass <提供方类名称> [-providerarg <参数>]] ...  
             [-providerpath <路径列表>]  
  
-exportcert  [-v] [-rfc] [-protected]  
             [-alias <别名>] [-file <认证文件>]  
             [-keystore <密钥库>] [-storepass <存储库口令>]  
             [-storetype <存储类型>] [-providername <名称>]  
             [-providerclass <提供方类名称> [-providerarg <参数>]] ...  
             [-providerpath <路径列表>]  
  
-genkeypair  [-v] [-protected]  
             [-alias <别名>]  
             [-keyalg <keyalg>] [-keysize <密钥大小>]  
             [-sigalg <sigalg>] [-dname <dname>]  
             [-validity <valDays>] [-keypass <密钥库口令>]  
             [-keystore <密钥库>] [-storepass <存储库口令>]  
             [-storetype <存储类型>] [-providername <名称>]  
             [-providerclass <提供方类名称> [-providerarg <参数>]] ...  
             [-providerpath <路径列表>]  
  
-genseckey   [-v] [-protected]  
             [-alias <别名>] [-keypass <密钥库口令>]  
             [-keyalg <keyalg>] [-keysize <密钥大小>]  
             [-keystore <密钥库>] [-storepass <存储库口令>]  
             [-storetype <存储类型>] [-providername <名称>]  
             [-providerclass <提供方类名称> [-providerarg <参数>]] ...  
             [-providerpath <路径列表>]  
  
-help  
  
-importcert  [-v] [-noprompt] [-trustcacerts] [-protected]  
             [-alias <别名>]  
             [-file <认证文件>] [-keypass <密钥库口令>]  
             [-keystore <密钥库>] [-storepass <存储库口令>]  
             [-storetype <存储类型>] [-providername <名称>]  
             [-providerclass <提供方类名称> [-providerarg <参数>]] ...  
             [-providerpath <路径列表>]  
  
-importkeystore [-v]  
             [-srckeystore <源密钥库>] [-destkeystore <目标密钥库>]  
             [-srcstoretype <源存储类型>] [-deststoretype <目标存储类型>]  
             [-srcstorepass <源存储库口令>] [-deststorepass <目标存储库口令>]  
             [-srcprotected] [-destprotected]  
             [-srcprovidername <源提供方名称>]  
             [-destprovidername <目标提供方名称>]  
             [-srcalias <源别名> [-destalias <目标别名>]  
               [-srckeypass <源密钥库口令>] [-destkeypass <目标密钥库口令>]]  
             [-noprompt]  
             [-providerclass <提供方类名称> [-providerarg <参数>]] ...  
             [-providerpath <路径列表>]  
  
-keypasswd   [-v] [-alias <别名>]  
             [-keypass <旧密钥库口令>] [-new <新密钥库口令>]  
             [-keystore <密钥库>] [-storepass <存储库口令>]  
             [-storetype <存储类型>] [-providername <名称>]  
             [-providerclass <提供方类名称> [-providerarg <参数>]] ...  
             [-providerpath <路径列表>]  
  
-list        [-v | -rfc] [-protected]  
             [-alias <别名>]  
             [-keystore <密钥库>] [-storepass <存储库口令>]  
             [-storetype <存储类型>] [-providername <名称>]  
             [-providerclass <提供方类名称> [-providerarg <参数>]] ...  
             [-providerpath <路径列表>]  
  
-printcert   [-v] [-file <认证文件>]  
  
-storepasswd [-v] [-new <新存储库口令>]  
             [-keystore <密钥库>] [-storepass <存储库口令>]  
             [-storetype <存储类型>] [-providername <名称>]  
             [-providerclass <提供方类名称> [-providerarg <参数>]] ...  
             [-providerpath <路径列表>]

转载：http://blog.csdn.net/ygc87/article/details/7620942