配置客户端SSL认证的Tomcat dchg2000（原作）wewi修改稿

wewi

一、配置环境
     1.1 Tomcat简介
     Tomcat是Apache Jakarta的子项目之一，作为一个优秀的开源web应用服务器，全面支持jsp1.2以及servlet2.3规范。因其技术先进、性能稳定，而且免费，因而深受Java爱好者的喜爱并得到了部分软件开发商的认可，成为目前比较流行的web应用服务器。
     
     1.2 SSL(Server Socket Layer)简介
     在网络上信息在源-宿的传递过程中会经过其它的计算机。一般情况下，中间的计算机不会监听路过的信息。但在使用网上银行或者进行信用卡交易的时候有可能被监视，从而导致个人隐私的泄露。由于Internet和Intranet体系结构的原因，总有某些人能够读取并替换用户发出的信息。随着网上支付的不断发展，人们对信息安全的要求越来越高。因此Netscape公司提出了SSL协议，旨在达到在开放网络(Internet)上安全保密地传输信息的目的，这种协议在WEB上获得了广泛的应用。 之后IETF(www.ietf.org)对SSL作了标准化，即RFC2246，并将其称为TLS（Transport Layer Security），从技术上讲，TLS1.0与SSL3.0的差别非常微小。
     
     1.3 SSL工作原理
     SSL协议使用不对称加密技术实现会话双方之间信息的安全传递。可以实现信息传递的保密性、完整性，并且会话双方能鉴别对方身份。不同于常用的http协议，我们在与网站建立SSL安全连接时使用https协议，即采用https://ip:port/的方式来访问。
     
     当我们与一个网站建立https连接时，我们的浏览器与Web Server之间要经过一个握手的过程来完成身份鉴定与密钥交换，从而建立安全连接。具体过程如下：
     
     用户浏览器将其SSL版本号、加密设置参数、与session有关的数据以及其它一些必要信息发送到服务器。
     服务器将其SSL版本号、加密设置参数、与session有关的数据以及其它一些必要信息发送给浏览器，同时发给浏览器的还有服务器的证书。如果配置服务器的SSL需要验证用户身份，还要发出请求要求浏览器提供用户证书。
     客户端检查服务器证书，如果检查失败，提示不能建立SSL连接。如果成功，那么继续。
     客户端浏览器为本次会话生成pre-master secret，并将其用服务器公钥加密后发送给服务器。
     如果服务器要求鉴别客户身份，客户端还要再对另外一些数据签名后并将其与客户端证书一起发送给服务器。
     如果服务器要求鉴别客户身份，则检查签署客户证书的CA是否可信。如果不在信任列表中，结束本次会话。如果检查通过，服务器用自己的私钥解密收到的pre-master secret，并用它通过某些算法生成本次会话的master secret。
     客户端与服务器均使用此master secret生成本次会话的会话密钥(对称密钥)。在双方SSL握手结束后传递任何消息均使用此会话密钥。这样做的主要原因是对称加密比非对称加密的运算量低一个数量级以上，能够显著提高双方会话时的运算速度。
     客户端通知服务器此后发送的消息都使用这个会话密钥进行加密。并通知服务器客户端已经完成本次SSL握手。
     服务器通知客户端此后发送的消息都使用这个会话密钥进行加密。并通知客户端服务器已经完成本次SSL握手。
本次握手过程结束，会话已经建立。双方使用同一个会话密钥分别对发送以及接受的信息进行加、解密。

1.4 环境说明
Redhat 9 + IBMJDK1.3.1+ DB2 8.1, ( IBMJava2-131 ->; /opt/IBMJava2-141)
     1.4 所需软件包
jakarta-tomcat-5.0.28.tar.gz
# cp  jakarta-tomcat-5.0.28.tar.gz /opt
# tar  zxvf  jakarta-tomcat-5.0.28.tar.gz
# cp  jakarta-tomcat-5.0.28  tomcat
# rm  jakarta-tomcat-5.0.28.tar.gz
      用途：Web Server。

openssl-0.9.7a-2   (Redhat 9 自带)
openssl-devel-0.9.7a-2   (Redhat 9 自带)
      用途：用来产生CA证书、签名并生成IE可导入的PKCS#12格式私钥。
     
二 配置步骤
     2.1 建立自己的CA证书
     1．在/root目录下建立自己的CA目录，例如：mageCA
     # cd /root
     mkdir mageCA
     
     2．生成CA密钥
     
     openssl genrsa -out mageCA/ca-key.pem 1024
     
     genrsa [产生密钥命令] –out[密钥文件输出路径] 1024 [密钥位数]
     
     3．生成待签名的证书
     
     openssl req -new -out mageCA/ca-req.csr -key mageCA/ca-key.pem
     
     req[产生证书命令]-new[新生成]-out[证书文件输出路径]-key[私钥文件路径]
     
     4．用CA私钥自签名
     
     openssl x509 -req -in mageCA/ca-req.csr -out mageCA/ca-cert.pem -signkey mageCA/ca-key.pem -days 365
     
     x509[签发x509证书命令]-req[输入待签发证书]-in[输入待签发证书文件路径]-out[产生x509证书文件输出路径]-signkey[自签发密钥文件路径]-days[证书有效期]–CA[签发跟证书]-Cakey[根证书密钥文件] –Cacreateserial[创建序列号]
     
     [注] 将自动生成的ca-key.srl文件拷贝到创建的mageCA目录下.。
      ca-key.srl 如果不能自动生成，就请自建一个文件ca-key.srl，根据window版得知ca-key.srl的内容为07

     2.2 配置Tomcat 5.0.28
     2.2.1 建立服务器证书
     [注] 在本文中用符号"/opt/IBMJava2-141"来表示JDK的安装位置，用符号"%TCAT_HOME%" 表示Tomcat的安装位置。
     
     1. 建立工作目录
     
     在/opt/IBMJava2-141的bin目录下建立自己的server目录，例如：server
     # cd /root
     mkdir server
     
     2. 生成server密钥对
     
/opt/IBMJava2-141/bin/keytool -genkey -alias tomcat_server -validity 365 -keyalg RSA -keysize 1024 -keypass changeit -storepass changeit -dname "cn=192.168.192.11, ou=wewi o=wewi, l=***, st=Zhejiang, c=CN" -keystore server/server_keystore
     

cn=192.168.192.11  --服务器ip地址或域名，请与客户端访问的方式对应，否则会有提示，如以上对应客户端访问用http://192.168.192.11的方式
ou=wewi  --忘了，知道的兄弟补充
o=wewi 组织名
l=***  城市名
st=Zhejiang 省
c=CN 国家

     -genkey[产生密钥对]-alias[密钥对别名]-validity[密钥有效期]-keyalg[密钥算法参数]-keysize[密钥位数]-keypass[密钥保护密码]-storepass[存储密码]-dname[别名相关附加信息]-keystore[密钥存储文件路径]
     
     [注] -alias后的tomcat_server是密钥对的名字可替换为自己需要的名字；
     
     -keypass与-storepass后的changeit为保护密码必须6位，将其替换为你的密码即可；
     
     -dname为包含的server信息。其中cn是服务器的名字一定要与WEB服务器中设置的一样。
     
     3. 生成待签名证书
     
     /opt/IBMJava2-141/bin/keytool -certreq -alias tomcat_server -sigalg MD5withRSA -file server/server.csr -keypass changeit -keystore server/server_keystore -storepass changeit
     
     -certreq[产生待签名证书]-alias[证书别名]-sigalg[证书算法参数]-file [产生文件输出路径]-keypass[密钥保护密码]-keystore[存储文件路径]-storepass[存储密码]
     
     4. 用CA私钥签名
     # cd /root
     openssl x509 -req -in server/server.csr -out server/server-cert.pem -CA mageCA/ca-cert.pem -CAkey mageCA/ca-key.pem -days 365
     
     [注] 先将生成的server.csr文件ftp到linux上openssl的目录下的server子目录中，ftp的传输模式应设为bin模式，以下同。
     
     2.2.2 将CA根证书和服务器证书导入Tomcat
     1. 导入CA根证书
     
     将CA根证书（ca-cert.pem）ftp到Java工作目录下的ca子目录中
     # cd /root
     /opt/IBMJava2-141/bin/keytool -import -v -trustcacerts -storepass changeit -alias my_ca_root -file mageCA/ca-cert.pem -keystore /opt/IBMJava2-141/jre/lib/security/cacerts
     
     -import[导入命令]-v –trustcacerts[导入信任证书] –storepass[存储密码]-alias[证书别名]-file[证书文件路径]-keystore[导入文件路径]
     
     [注] 此处的-storepass为默认的“changeit”。-alias为CA根证书的别名。
     
     2. 导入服务器证书
     
     将服务器证书（server-cert.pem）ftp到Java工作目录下的server子目录中。
     
     /opt/IBMJava2-141/bin/keytool -import -v -trustcacerts -storepass changeit -alias tomcat_server -file server/server-cert.pem -keystore server/server_keystore
     
     [注] 此时的-storepass为生成证书时输入密码。-alias为服务器证书的别名。
     
     3. 查看证书
     
     查看CA证书
     
     /opt/IBMJava2-141/bin/keytool -list -keystore /opt/IBMJava2-141/jre/lib/security/cacerts
     
     查看服务器证书
     
     /opt/IBMJava2-141/bin/keytool -list -keystore server/server_keystore
     
用于删除，如果出错，请用一下命令删除
/opt/IBMJava2-141/bin/keytool -delete -v -trustcacerts -storepass changeit -alias my_ca_root -file mageCA/ca-cert.pem -keystore /opt/IBMJava2-141/jre/lib/security/cacerts

     2.2.3 修改Tomcat的配置文件
     修改conf目录下server.xml文件找到以下内容去掉其注释并修改。
     
     <Connector port="443" maxThreads="150" minSpareThreads="25" maxSpareThreads="7
5" enableLookups="false" disableUploadTimeout="true" acceptCount="100" debug="0" s
cheme="https" secure="true" algorithm="IbmX509" clientAuth="true" sslProtocol="SSL
" keystoreFile="/opt/tomcat/conf/server_keystore" keystorePass="changeit" />;
     
IbmX509对应IBM的JDK，如果是SUN的就不用改了，注意我把8443端口改为443，8080改为80如果你不要如果你不要80端口，请在server.xml里注释掉。如果保留，但想让用户访问在http://192.168.192.11时自动转为https://192.168.192.11的话，在conf/web.xml最后加：   
<security-constraint>;
        <web-resource-collection>;
            <web-resource-name>;Security page
            </web-resource-name>;
            <url-pattern>;/*</url-pattern>;
            <http-method>;GET</http-method>;
            <http-method>OST</http-method>;
        </web-resource-collection>;
        <user-data-constraint>;
           <transport-guarantee>;CONFIDENTIAL</transport-guarantee>;
        </user-data-constraint>;
    </scurity-constraint>;
     然后把文件/root/server/ server_keystore复制到目录/opt/tomcat/conf/下
     
     2.3 配置IE客户端
     2.3.1 建立Client证书
     1. openssl的apps目录下建立自己的Client目录，例如：client
     
     2. 生成Client密钥对
     
     openssl genrsa -out client/client-key.pem 1024
     
     3. 生成待签名的证书
     
openssl req -new -out client/client-req.csr -key client/client-key.pem

     You are about to be asked to enter information that will be incorporated
into your certificate request.
What you are about to enter is what is called a Distinguished Name or a DN.
There are quite a few fields but you can leave some blank
For some fields there will be a default value,
If you enter '.', the field will be left blank.
-----
Country Name (2 letter code) [GB]:CN
State or Province Name (full name) [Berkshire]:Zhejiang
Locality Name (eg, city) [Newbury]:<此处填城市>;
Organization Name (eg, company) [My Company Ltd]:wewi
Organizational Unit Name (eg, section) []:
Common Name (eg, your name or your server's hostname) []:<此处填写的内容对应证书的颁发给>;
Email Address []:wewi@peoplemail.com.cn

Please enter the following 'extra' attributes
to be sent with your certificate request
A challenge password []:<此处填密码>;
An optional company name []:


     4. 用CA私钥签名
     
     openssl x509 -req -in client/client-req.csr -out client/client-cert.pem -signkey client/client-key.pem -CA mageCA/ca-cert.pem -CAkey mageCA/ca-key.pem -CAcreateserial -days 365
     
     5. 生成Client端可以导入的个人证书
     
     openssl pkcs12 -export -clcerts -in client/client-cert.pem -inkey client/client-key.pem -out client/client.p12
      需要输入密码，此密码对应个人证书导入IE的密码
pkcs12[生成PKS12格式证书命令]-export[导出文件]-clerts[仅导出client证书]-in[输入的client证书文件路径]-inkey[client证书密钥文件路径]-out[导出PKS12格式文件路径]
     
     2.3.2 将CA证书与client证书导入IE
     1. 导入CA根证书
     
     将mageCA子目录中的ca-cert.pem改名为ca-cert.cer；
     
     在client端的IE中使用<工具>;,< Internet选项>;,<内容>;,<证书>;,<导入>;,把我们生成的CA根证书导入，使其成为用户信任的CA。
     
     2. 导入client证书
     
     将client证书（client.p12）ftp到Client端，把client.p12导入到client端的IE中作为client证书，导入过程同上，请保管好该证书和密码，不允许的客户端不要提供
     
     三 用IE浏览器使用SSL协议访问Tomcat
     1. 执行/opt/tomcat/bin/startup.sh启动Tomcat
     
2. 在IE浏览器的地址栏中输入https://192.168.192.11，如果前面的操作都正确，应该可以看到Tomcat的欢迎页面。同时状态栏上的小锁处于闭合状态，表示您已经成功地与服务器建立了要求客户端验证的SSL安全连接。

/opt/IBMJava2-141/bin/keytool -delete -v -trustcacerts -storepass changeit -alias my_ca_root -file mageCA/ca-cert.pem -keystore /opt/IBMJava2-141/jre/lib/security/cacerts
此命令用于删除