JAVA ssl 配置（tomcat https设置）

项目要求用ssl连接，详细研究了下ssl，接触了keytool这个jdk工具

tomcat要支持ssl，参照官方文档：http://tomcat.apache.org/tomcat-6.0-doc/ssl-howto.html

几个概念：

keytool： jdk的证书管理工具,具体使用方法见下文参考

keystore文件： java证书库文件（其他程序的证书库是什么格式，俺表示不清楚）Keytool将密钥（key）和证书（certificate）存在一个称为keystore的文件中，在keystore里有证书（包含公匙）和密匙

alias：别名 keystore中可以存放多个证书，姑且认为是区别证书之用（发现错了请留言）

每个证书都包含一对密匙 ，证书中放着公匙，证书库里放着密钥，

基于实用角度考虑，ssl是一种加密传输，而且是非对称加密，所以，要一个公匙，一个密匙。同时，谁拿着密匙，就有种身份认证的作用，所以，有时，为了通信双方相互认证，就有了双向认证的ssl，这个纯粹是单向ssl的角色互换。

服务器端ssl（即不用认证访问者）:

keytool -genkey -v -alias tomcat -keyalg RSA -keystore tomcat.keystore -validity 3650 -dname "CN=hms.wellcare.cn,OU=CHN,O=CHN,L=BJ,ST=BJ,C=CN" -storepass 123456  -keypass 123456

修改tomcat server.xml

 <Connector port="443" protocol="org.apache.coyote.http11.Http11Protocol" SSLEnabled="true"
               maxThreads="150" scheme="https" secure="true"
               clientAuth="false" sslProtocol="TLS" 
		keystoreFile="D:/tomcat.keystore" keystorePass="123456" />

客户端认证

@Rem 生成客户端证书库 *.p12文件
keytool -genkey -v -alias myKey -keyalg RSA -storetype PKCS12 -keystore d:\my.p12 -dname "CN=www.well.com,OU=CHN,O=CHN,L=BJ,ST=BJ,C=CN" -storepass 123456 -keypass 123456 

@Rem 导出服务器端用的cer文件，即证书公匙
keytool -export -alias myKey -keystore d:\my.p12 -storetype PKCS12 -storepass 123456 -rfc -file d:\my.cer 

@Rem 将第二步导出的证书公匙加入服务器端信任证书库
Keytool -import -v -file d:\my.cer -keystore d:\tomcat.keystore -storepass 123456

修改tomcat server.xml

 <Connector port="443" protocol="org.apache.coyote.http11.Http11Protocol" SSLEnabled="true"
               maxThreads="150" scheme="https" secure="true" 
		clientAuth="true" sslProtocol="TLS" 
		keystoreFile="D:/tomcat.keystore" keystorePass="123456"
		truststoreFile="D:/tomcat.keystore" truststorePass="123456"
 />


=================================================华丽的分割线==================================================





参考：

keytool使用方法

eg1、生成密钥，并以证书文件保存

 keytool -genkey -alias bogus -keysize 512 -validity 3650 -keyalg RSA -dname "CN=bogus.com, OU=XXX CA, O=Bogus Inc, L=Stockholm, S=Stockholm, C=SE" -keypass boguspw -storepass boguspw -keystore sean.cert

 

eg2、 产生密钥

D:/>keytool -genkey -alias wenger -keysize 1024 -keypass abcdef -keystore myKeys

tore -storepass abcdef -dname "CN=chen sr, OU=tanglab, O=lab, L=gz, ST=gd, C=cn"



eg3、 导出密钥，用证书的形式保存

D:/>keytool -export -alias wenger -file mycert.cert -keystore myKeystore -storepass abcdef

保存在文件中的认证 <mycert.cert>





JDK中keytool常用命令

-genkey      在用户主目录中创建一个默认文件".keystore",还会产生一个mykey的别名，mykey中包含用户的公钥、私钥和证书

-alias       产生别名

-keystore    指定密钥库的名称(产生的各类信息将不在.keystore文件中

-keyalg      指定密钥的算法   

-validity    指定创建的证书有效期多少天

-keysize     指定密钥长度

-storepass   指定密钥库的密码

-keypass     指定别名条目的密码

-dname       指定证书拥有者信息 例如：  "CN=sagely,OU=atr,O=szu,L=sz,ST=gd,C=cn"

-list        显示密钥库中的证书信息      keytool -list -v -keystore sage -storepass ....

-v           显示密钥库中的证书详细信息

-export      将别名指定的证书导出到文件  keytool -export -alias caroot -file caroot.crt

-file        参数指定导出到文件的文件名

-delete      删除密钥库中某条目          keytool -delete -alias sage -keystore sage

-keypasswd   修改密钥库中指定条目口令    keytool -keypasswd -alias sage -keypass .... -new .... -storepass ... -keystore sage

-import      将已签名数字证书导入密钥库  keytool -import -alias sage -keystore sagely -file sagely.crt

             导入已签名数字证书用keytool -list -v 以后可以明显发现多了认证链长度，并且把整个CA链全部打印出来。

 

1.证书的显示

-list

[-v | -rfc] [-alias <alias>]

[-keystore <keystore>] [-storepass <storepass>]

[-storetype <storetype>] [-provider <provider_class_name>]

例如：keytool -list -v -alias RapaServer -keystore cacerts -storepass 12345678

keytool -list -v -keystore d2aapplet.keystore -storepass 12345678 -storetype IAIKKeystore

2.将证书导出到证书文件

例如：keytool -export -keystore monitor.keystore -alias monitor -file monitor.cer

将把证书库 monitor.keystore 中的别名为 monitor 的证书导出到 monitor.cer 证书文件中，它包含证书主体的信息及证书的公钥，不包括私钥，可以公开。

keytool -export -keystore d2aApplet.keystore -alias RapaServer -file Rapa.cert -storetype IAIKKeystore

3.将keystore导入证书中

这里向Java默认的证书 cacerts导入Rapa.cert

keytool -import -alias RapaServer -keystore cacerts -file Rapa.cert -keystore cacerts

4.证书条目的删除

keytool的命令行参数 -delete 可以删除密钥库中的条目，如： keytool -delete -alias RapaServer -keystore d2aApplet.keystore
 ，这条命令将 d2aApplet.keystore 中的 RapaServer 这一条证书删除了。

5.证书条目口令的修改

使用 -keypasswd 参数，如：keytool -keypasswd -alias RapaServer -keystore d2aApplet.keystore，可以以交互的方式修改 d2aApplet.keystore证书库中的条目为 RapaServer 的证书。

Keytool -keypasswd -alias RapaServer -keypass 654321 -new 123456 -storepass 888888 -keystore d2aApplet.keystore这一行命令以非交互式的方式修改库中别名为 RapaServer 的证书的密码为新密码 654321，行中的 123456 是指该条证书的原密码，
 888888 是指证书库的密码。