linux apache Tomcat配置SSL(https)步骤

https简介
它是由Netscape开发并内置于其浏览器中，用于对数据进行压缩和解压操作，并返回网络上传送回的结果。HTTPS实际上应用了Netscape的安全套接字层（SSL）作为HTTP应用层的子层。（HTTPS使用端口443，而不是象HTTP那样使用端口80来和TCP/IP进行通信。）SSL使用40 位关键字作为RC4流加密算法，这对于商业信息的加密是合适的。HTTPS和SSL支持使用X.509数字认证，如果需要的话用户可以确认发送者是谁。
也就是说它的主要作用可以分为两种：一种是建立一个信息安全通道，来保证数据传输的安全；另一种就是确认网站的真实性。

HTTPS和HTTP的区别
　　一、https协议需要到ca申请证书，一般免费证书很少，需要交费。
　　二、http是超文本传输协议，信息是明文传输，https 则是具有安全性的ssl加密传输协议。
　　三、http和https使用的是完全不同的连接方式，用的端口也不一样，前者是80，后者是443。
四、http的连接很简单，是无状态的；HTTPS协议是由SSL+HTTP协议构建的可进行加密传输、身份认证的网络协议，比http协议安全。

SSL介绍
为Netscape所研发，用以保障在Internet上数据传输之安全，利用数据加密(Encryption)技术，可确保数据在网络上之传输过程中不会被截取及窃听。目前一般通用之规格为40 bit之安全标准，美国则已推出128 bit之更高安全标准，但限制出境。只要3.0版本以上之I.E.或Netscape浏览器即可支持SSL。
　　当前版本为3.0。它已被广泛地用于Web浏览器与服务器之间的身份认证和加密数据传输。
SSL协议位于TCP/IP协议与各种应用层协议之间，为数据通讯提供安全支持。SSL协议可分为两层：SSL记录协议（SSL Record Protocol）：它建立在可靠的传输协议（如TCP）之上，为高层协议提供数据封装、压缩、加密等基本功能的支持。SSL握手协议（SSL Handshake Protocol）：它建立在SSL记录协议之上，用于在实际的数据传输开始前，通讯双方进行身份认证、协商加密算法、交换加密密钥等。
连接分为两个阶段，即握手和数据传输阶段。
握手阶段对服务器进行认证并确立用于保护数据传输的加密密钥。必须在传输任何应用数据之前完成握手。一旦握手完成，数据就被分成一系列经过保护的记录进行传输。

SSL协议提供的服务主要有哪些？
　　1）认证用户和服务器，确保数据发送到正确的客户机和服务器
　　2）加密数据以防止数据中途被窃取
　　3）维护数据的完整性，确保数据在传输过程中不被改变。

https的实现原理
有两种基本的加解密算法类型：
1）对称加密：密钥只有一个，加密解密为同一个密码，且加解密速度快，典型的对称加密算法有DES、AES等；
2）非对称加密：密钥成对出现（且根据公钥无法推知私钥，根据私钥也无法推知公钥），加密解密使用不同密钥（公钥加密需要私钥解密，私钥加密需要公钥解密），相对对称加密速度较慢，典型的非对称加密算法有RSA、DSA等。

https通信的优点：
1）客户端产生的密钥只有客户端和服务器端能得到；
2）加密的数据只有客户端和服务器端才能得到明文；
3）客户端到服务端的通信是安全的。
加密过程：
在https的通信过程中，组合使用了公用密钥方式加密和共享密钥方式加密这两种技术。公用密钥方式要比共享密钥方式慢得多，因此使用公用密钥来完成共享密钥的交换。公用密钥是从证书中获得的。拿到共享密钥之后，所有的内容之间的通信都会使用共享密钥来进行加密和解密。公用密钥的作用就是为了安全的交换共享密钥，共享密钥是用来通信内容的加密和解密。这样既确保了通信之间的安全，也确保了加密和解密的效率。

配置jdk与tomcat环境变量

　　　　export JAVA_HOME=/usr/java/jdk1.8.0_92
　　　　export JRE_HOME=$JAVA_HOME/jre
　　　　export TOMCAT_HOME=/var/apache-tomcat-7.0.63
　　　　export CATALINA_HOME=/var/apache-tomcat-7.0.63
　　　　export CATALINA_BASE=/var/apache-tomcat-7.0.63

　　　　PATH=$PATH:$JAVA_HOME/bin:$JRE_HOME/bin
　　　　CLASSPATH=:$JAVA_HOME/lib/dt.jar:$JAVA_HOME/bin/tools.jar:$JRE_HOME/lib
　　　　export CLASSPATH=:CLASSPATH:$CATALINA_HOME/common/lib
　　　　export PATH=$PATH:$JAVA_HOME/bin:$JRE_HOME:$TOMCAT_HOME/bin

接下来主要陈述一下 ：Tomcat配置双向的ssl方式

第一步：使用keytool为Tomcat生成证书

[root@iZ25fe0s3erZ apache-tomcat-7.0.63]# keytool -alias tomcat -genkey -keyalg RSA -keysize 1024 -sigalg SHA1withRSA -validity 3650 -keystore /var/apache-tomcat-7.0.63/tomcat.keystore

Enter keystore password:

Re-enter new password:

What is your first and last name? 输入你服务器使用的域名

[Unknown]: 123.com

What is the name of your organizational unit? 输入组织名称

[Unknown]: cmm

What is the name of your organization? 输入单位名称

[Unknown]: cmm

What is the name of your City or Locality? 输入你所在的城市

[Unknown]: beijing

What is the name of your State or Province? 输入你所在的县

[Unknown]: beijing

What is the two-letter country code for this unit? 输入你所在国家的编码

[Unknown]: CN

Is CN=yingyangmeishi.chaomeiman.com, OU=chaomeiman, O=chaomeiman, L=beijing, ST= beijing, C=CN correct?

[no]: Y

Enter key password for <tomcat>

(RETURN if same as keystore password):

第二步：为客户端生成证书 为浏览器生成证书，以便让服务器来验证它。



第三步：让服务器信任客户端证书 由于是双向SSL认证，服务器必须要信任客户端证书，因此，必须把客户端证书添加为服务器的信任认证。由于不能直接将PKCS12格式的证书库导入，我们必须先把客户端证书导出为一个单独的CER文件，使用如下命令：
然后将该文件导入到服务器的证书库，添加为一个信任证书：
keytool -export -alias tomcat -keystore /var/apache-tomcat-7.0.63/tomcat.keystore -file /var/apache-tomcat-7.0.63/tomcat.cer

第四步： 让服务器信任服务端证书(同第三步)

第五步： list命令查看服务器的证书库，我们可以看到两个输入，一个是服务器证书，一个是受信任的客户端证书：
keytool -list /var/apache-tomcat-7.0.63/tomcat.keystore

在tomcat的server.xml文件中配置相关参数

　　　　<Connector port="8443"

　　　　protocal="HTTP/1.1"

　　　　SSLEnabled="true"

　　　　maxThread="150"

　　　　scheme="https"

　　　　secure="true"

　　　　clientAuth="false"

　　　　sslProtocol="TLS"

　　　　keystoreFile="/var/apache-tomcat-7.0.63/tomcat.keystore"

　　　　keystorePass="cmm******"/>