为通过 ATS 检测 Tomcat 完全 TLS v1.2、完全正向加密及其结果检验

最新推荐文章于 2024-09-17 23:24:35 发布

Defonds

最新推荐文章于 2024-09-17 23:24:35 发布

阅读量1.3w

点赞数 1

分类专栏：安全防御文章标签： ats tomcat ats 苹果ats检测 tomcat完全正向加密 tomcat tls v1.2

本文链接：https://blog.csdn.net/defonds/article/details/54346343

版权

本文介绍了如何将Tomcat强制配置为完全支持TLS v1.2，包括SSL证书迁移、JVM和Tomcat配置，并通过启动验证和openssl工具进行检测。同时，详细讲解了实现完全正向加密的步骤，提供了相关检测工具和参考资料。

摘要由CSDN通过智能技术生成

2017 年起 app store 要求 app 对接的服务器支持 TLS v1.2，否则 ats 检测不予通过。有点强制推 TLS v1.2 的意味。本文介绍如何使 tomcat 强制执行 TLS v1.2、完全正向加密。本文示例 tomcat 版本 7.0.68，jdk 版本 1.7.0。
笔者强烈推荐在 DNS 解析层或反向代理服务层做这件事情，不建议放在 tomcat 这一层做。如果你非要在 tomcat 这层做，可以参考本文的做法。
首先声明，tomcat 7 以后能够通过 JSSE 支持 TLSv1、TLSv1.1、TLSv1.2。也能支持 ATS 所要求的那些正向签字算法，但是 ATS 要求只能支持这些正向签字算法，一些安全级别较弱的算法不能够支持，也就是完全正向加密。总之，本文要做的事情就是禁用 TLSv1、TLSv1.1，禁用非正向加密的弱签字算法。

1. Tomcat 强制完全 TLS v1.2

JDK 1.7 以上的 JSSE 才能支持到 TLS v1.2。

1.1. ssl 证书迁移到 tomcat

1.1.1. 联系证书颁发公司，转换为 jks 后缀格式

对方技术支持会返回 keystore.jks 证书文件及其密码证书密码。

1.1.2. 将证书文件放在 %tomcat%/conf/ 目录

1.1.3. 证书 tomcat 配置

将 %tomcat%/conf/server.xml 中的以下注释部分取消注释：

    <Connector port="8443" protocol="org.apache.coyote.http11.Http11Protocol"
               maxThreads="150" SSLEnabled="true" scheme="https" secure="true"
               clientAuth="false" sslProtocol="TLS" />

然后向该 Connector 标签添加证书相关参数：
keystoreFile="conf/keystore.jks