最近发现自己开发的Android App都存在未签名认证的问题。
反编译App引用的库,发现关键字ALLOW_ALL_HOSTNAME_VERIFIER,允许所有主机名通过验证
所以想研究一下https+ssl双向证书认证。目前在学习阶段,而且一直专注Android App开发,对服务器和网络安全属于新手,如有错误,欢迎讨论。
Tomcat配置双向的ssl方式
第一步:使用keytool为Tomcat生成证书
第二步:为客户端生成证书
为浏览器生成证书,以便让服务器来验证它。
第三步:让服务器信任客户端证书
由于是双向SSL认证,服务器必须要信任客户端证书,因此,必须把客户端证书添加为服务器的信任认证。由于不能直接将PKCS12格式的证书库导入,我们必须先把客户端证书导出为一个单独的CER文件,使用如下命令:
然后将该文件导入到服务器的证书库,添加为一个信任证书:
第四步:
让服务器信任服务端证书(同第三步)
第五步:
list命令查看服务器的证书库,我们可以看到两个输入,一个是服务器证书,一个是受信任的客户端证书:
第六步:
在tomcat的server.xml文件中配置相关参数
<Connector port="8443"
protocol="HTTP/1.1"
minSpareThreads="150" maxSpareThreads="75"
enableLookups="true" disableUploadTimeout="true"
acceptCount="100" maxThreads="200"
scheme="https" secure="true" SSLEnabled="true"
clientAuth="false" sslProtocol="TLS"
keystoreFile="C:/apache-tomcat-7/apache-tomcat-7.0.55/etc//tomcat.keystore"
keystorePass="pass"
truststoreFile="C:/apache-tomcat-7/apache-tomcat-7.0.55/etc/client.truststore"
truststorePass="pass"
/>