linux下Tomcat+OpenSSL配置单向&双向认证(自制证书)

背景

由于ios将在2017年1月1日起强制实施ATS安全策略，所有通讯必须使用https传输，本文只针对自制证书，但目前尚不确定自制证书是否能通过appstore审核。

 

1、必须支持传输层安全(TLS)协议1.2以上版本
2、证书必须使用SHA256或更高的哈希算法签名
3、必须使用2048位以上RSA密钥或256位以上ECC算法等等
4、证书必须是V3版本
以上是几个注意点。主要针对ios的ATS策略

 

环境

linux: CentOS6.8
tomcat: Apache Tomcat/7.0.63
OpenSSL: OpenSSL 1.1.0c

OpenSSL升级(如果需要)

我使用的是阿里云服务器，linux自带OpenSSL，只需要做一次升级，关于全新安装请自行搜索。

 

制作根证书

1. 创建根证书密钥文件(自己做CA) root.key
openssl genrsa -des3 -out root.key 2048

2. 创建根证书的申请文件 root.csr
openssl req -new -key root.key -out root.csr

3. 创建一个自当前日期起为期十年的根证书 root.crt
openssl x509 -req -days 3650 -sha256 -extfile /usr/local/openssl/ssl/openssl.cnf -extensions v3_ca -signkey root.key -in root.csr -out root.crt

 

输出内容为:
Signature ok 
subject=/C=CN/ST=BeiJing/L=BeiJing/O=MyCompany Corp./emailAddress=admin@mycompany.com
Getting Private key 
Enter pass phrase for root.key: ← 输入前面创建的密码

 

4.根据CA证书生成truststore JKS文件 root.truststore
//这一步只针对双向认证，单向不需要
keytool -keystore root.truststore -keypass 123456 -storepass 123456 -alias ca -import -trustcacerts -file /tmp/ca/root.crt
键入回事后，提示是否信息此证书，输入yes, 则生成truststore成功

 制作service服务器端证书

1.创建服务器证书密钥 server.key
openssl genrsa -des3 -out server.key 2048

2.创建服务器证书的申请文件 server.csr
openssl req -new -key server.key -out server.csr

3.创建自当前日期起有效期为期十年的服务器证书 server.crt
openssl x509 -req -days 3650 -sha256 -extfile /usr/local/openssl/ssl/openssl.cnf -extension