Java keytool Tomcat https 双向认证支持android bks

最新推荐文章于 2024-03-18 15:29:28 发布

mingjie1212

最新推荐文章于 2024-03-18 15:29:28 发布

阅读量1.5k

点赞数

分类专栏： Java # apache tomcat HTTPS&HTTP 文章标签： tomcat java keytool https

本文链接：https://blog.csdn.net/mingjie1212/article/details/51908174

版权

本文档详细介绍了如何使用Java keytool工具为Tomcat配置HTTPS双向认证，特别强调了支持Android平台的bks证书。通过验证，该方法已被证实可行并解决了相关问题。

摘要由CSDN通过智能技术生成

此方法是在一个地方找的，具体是哪个地方有点就远了，我自己经过验证，发现没有问题，正常使用。就贴出来方法的总结和相关问题记录。

基于java的https双向认证,android上亦可用

概述:
客户端,浏览器或者使用http协议和服务器通信的程序。
如:
客户端通过浏览器访问某一网站时，如果该网站为HTTPS网站，浏览器会自动检测系统中是否存在该网站的信任证书，
如果没有信任证书，浏览器一般会拒绝访问，IE会有一个继续访问的链接，但地址栏是红色，给予用户警示作用，
即客户端验证服务端并不是强制性的，可以没有服务端的信任证书，当然是否继续访问完全取决于用户自己。
如果要去除地址栏的红色警告,需要导入服务端提供的证书到浏览器中。

服务器端,使用http协议提供服务的程序。
服务端需要获取到客户端通过浏览器发送过来的认证证书，
如:
该证书在服务端的证书库中已存在，仅仅是个匹配过程，匹配成功即通过认证，可继续访问网站资源，反之则无法显示网页。

基本逻辑:
1、生成服务端密钥库并导出证书.
2、生成客户端密钥库并导出证书.
3、根据服务端密钥库生成客户端信任的证书.
4、将客户端证书导入服务端密钥库.
5、将服务端证书导入浏览器.

生成密钥库和证书:
因使用java环境,下面使用jdk下面的keytool工具来生成相应的密钥库和证书
下面的命令是在windows 7 下面测试通过的,可以直接复制使用
1、创建目录,如d:\zmj\

2、使用资源管理进入d:\zmj\,按住shift+右键,弹出菜单，选择"在此处打开命令行".

3、服务器端相关操作
3.1、生成服务器证书库

keytool -validity 36500 -genkey -v -alias server -keyalg RSA -keystore server.keystore -dname "CN=jj.com,OU=mm,O=jj.com,L=ShenZhen,ST=GuangDong,c=cn" -storepass testpassword -keypass testpassword

注: 服务器证书库参数“CN”必须与服务端的IP地址相同，或者使用域名，否则会报错，客户端的任意。

3.2、从服务器证书库中导出服务器证书

keytool -export -v -alias server -keystore server.keystore -storepass testpassword -rfc -file server.cer

3.3、生成客户端信任证书库(由服务端证书生成的证书库,客户端使用此证书验证服务端来源可靠)

keytool -import -v -alias server -file server.cer -keystore client.truststore -storepass testpassword -storetype BKS -provider org.bouncycastle.jce.provider.BouncyCastleProvider

注:-storetype BKS 是生成android上面可以识别的格式,如果不指定jdk默认生成的格式是JKS.
-provider org.bouncycastle.jce.provider.BouncyCastleProvider,需要下载jar包bcprov-jdk16-1.46.jar放到jdk1.7.0_65\jre\lib\ext\目录下.
注意需要jdk16,其他的版本android下面有版本不匹配的问题.

4、客户端相关操作
4.1、生成客户端证书库

keytool -validity 36500 -genkeypair -v -alias client -keyalg RSA -storetype PKCS12 -keystore client.p12 -dname "CN=jjclient,OU=jj,O=jj,L=ShenZhen,ST=GuangDong,c=cn" -storepass testpassword -keypass testpassword

4.2、从客户端证书库中导出客户端证书

keytool -export -v -alias client -keystore client.p12 -storetype PKCS12 -storepass testpassword -rfc -file client.cer

4.3、将客户端证书导入到服务器证书库(使得服务器信任客户端证书,服务器端用此验证客户端的合法性)

keytool -import -v -alias client -file client.cer -keystore server.keystore -storepass testpassword

4.4、查看服务端证书中信任的客户端证书