linux环境下配置tomcat HTTPS协议

https简介

    它是由Netscape开发并内置于其浏览器中,用于对数据进行压缩和解压操作,并返回网络上传送回的结果。HTTPS实际上应用了Netscape的安全套接字层(SSL)作为HTTP应用层的子层。(HTTPS使用端口443,而不是象HTTP那样使用端口80来和TCP/IP进行通信。)SSL使用40 位关键字作为RC4流加密算法,这对于商业信息的加密是合适的。HTTPS和SSL支持使用X.509数字认证,如果需要的话用户可以确认发送者是谁。

     也就是说它的主要作用可以分为两种:一种是建立一个信息安全通道,来保证数据传输的安全;另一种就是确认网站的真实性。

HTTPS和HTTP的区别
  一、https协议需要到ca申请证书,一般免费证书很少,需要交费。

  二、http是超文本传输协议,信息是明文传输,https 则是具有安全性的ssl加密传输协议。

  三、http和https使用的是完全不同的连接方式,用的端口也不一样,前者是80,后者是443。

  四、http的连接很简单,是无状态的;HTTPS协议是由SSL+HTTP协议构建的可进行加密传输、身份认证的网络协议,比http协议安全。

SSL介绍
为Netscape所研发,用以保障在Internet上数据传输之安全,利用数据加密(Encryption)技术,可确保数据在网络上之传输过程中不会被截取及窃听。目前一般通用之规格为40 bit之安全标准,美国则已推出128 bit之更高安全标准,但限制出境。只要3.0版本以上之I.E.或Netscape浏览器即可支持SSL。

  当前版本为3.0。它已被广泛地用于Web浏览器与服务器之间的身份认证和加密数据传输。

SSL协议位于TCP/IP协议与各种应用层协议之间,为数据通讯提供安全支持。SSL协议可分为两层:SSL记录协议(SSL Record Protocol):它建立在可靠的传输协议(如TCP)之上,为高层协议提供数据封装、压缩、加密等基本功能的支持。SSL握手协议(SSL Handshake Protocol):它建立在SSL记录协议之上,用于在实际的数据传输开始前,通讯双方进行身份认证、协商加密算法、交换加密密钥等。

连接分为两个阶段,即握手和数据传输阶段。

握手阶段对服务器进行认证并确立用于保护数据传输的加密密钥。必须在传输任何应用数据之前完成握手。一旦握手完成,数据就被分成一系列经过保护的记录进行传输。

SSL协议提供的服务主要有哪些?
  1)认证用户和服务器,确保数据发送到正确的客户机和服务器

  2)加密数据以防止数据中途被窃取

  3)维护数据的完整性,确保数据在传输过程中不被改变。

https的实现原理
有两种基本的加解密算法类型:

1)对称加密:密钥只有一个,加密解密为同一个密码,且加解密速度快,典型的对称加密算法有DES、AES等;

2)非对称加密:密钥成对出现(且根据公钥无法推知私钥,根据私钥也无法推知公钥),加密解密使用不同密钥(公钥加密需要私钥解密,私钥加密需要公钥解密),相对对称加密速度较慢,典型的非对称加密算法有RSA、DSA等。

https通信的优点:
1)客户端产生的密钥只有客户端和服务器端能得到;

2)加密的数据只有客户端和服务器端才能得到明文;

3)客户端到服务端的通信是安全的。

加密过程:

在https的通信过程中,组合使用了公用密钥方式加密和共享密钥方式加密这两种技术。公用密钥方式要比共享密钥方式慢得多,因此使用公用密钥来完成共享密钥的交换。公用密钥是从证书中获得的。拿到共享密钥之后,所有的内容之间的通信都会使用共享密钥来进行加密和解密。公用密钥的作用就是为了安全的交换共享密钥,共享密钥是用来通信内容的加密和解密。这样既确保了通信之间的安全,也确保了加密和解密的效率。

配置jdk与tomcat环境变量

export JAVA_HOME=/usr/java/jdk1.8.0_92
export JRE_HOME=$JAVA_HOME/jre
export TOMCAT_HOME=/var/apache-tomcat-7.0.63
export CATALINA_HOME=/var/apache-tomcat-7.0.63
export CATALINA_BASE=/var/apache-tomcat-7.0.63

PATH=$PATH:$JAVA_HOME/bin:$JRE_HOME/bin
CLASSPATH=:$JAVA_HOME/lib/dt.jar:$JAVA_HOME/bin/tools.jar:$JRE_HOME/lib
export CLASSPATH=:CLASSPATH:$CATALINA_HOME/common/lib
export PATH=$PATH:$JAVA_HOME/bin:$JRE_HOME:$TOMCAT_HOME/bin

Tomcat配置双向的ssl方式

第一步:使用keytool为Tomcat生成证书

[root@iZ25fe0s3erZ apache-tomcat-7.0.63]# keytool -alias tomcat -genkey -keyalg RSA -keysize 1024 -sigalg SHA1withRSA -validity 3650 -keystore /var/apache-tomca t-7.0.63/tomcat.keystore
Enter keystore password:
Re-enter new password:
What is your first and last name?  输入你服务器使用的域名
[Unknown]: 123.com
What is the name of your organizational unit?  输入组织名称
[Unknown]: cmm
What is the name of your organization? 输入单位名称
[Unknown]: cmm
What is the name of your City or Locality?  输入你所在的城市
[Unknown]: beijing
What is the name of your State or Province? 输入你所在的县
[Unknown]: beijing
What is the two-letter country code for this unit?  输入你所在国家的编码
[Unknown]: CN
Is CN=yingyangmeishi.chaomeiman.com, OU=chaomeiman, O=chaomeiman, L=beijing, ST= beijing, C=CN correct?
[no]: Y

Enter key password for         
(RETURN if same as keystore password):

keytool -validity 3650 -genkey -v -alias tomcat -keyalg RSA -keystore /usr/local/tomcat/tomcat.keystore -dname   "CN=要代理的域名,OU=xxx,O=xxx,L=xxx,ST=xxx,c=cn" -storepass xxx -keypass xxx

第二步:为客户端生成证书
为浏览器生成证书,以便让服务器来验证它。

keytool -validity 3650 -genkeypair -v -alias client -keyalg RSA -storetype PKCS12 -keystore /usr/local/tomcat/client.p12 -dname "CN=xxxx,OU=xxx,O=xxx,L=xxx,ST=xxx,c=cn" -storepass xxx -keypass xxxx

第三步:让服务器信任客户端证书
由于是双向SSL认证,服务器必须要信任客户端证书,因此,必须把客户端证书添加为服务器的信任认证。由于不能直接将PKCS12格式的证书库导入,我们必须先把客户端证书导出为一个单独的CER文件,使用如下命令:

keytool -export -alias tomcat -keystore /usr/local/tomcat/tomcat.keystore -file /usr/local/tomcat/tomcat.cer

然后将该文件导入到服务器的证书库,添加为一个信任证书:

keytool -export -v -alias client -keystore /usr/local/tomcat/client.p12 -storetype PKCS12 -storepass xxx -rfc -file /usr/local/tomcat/client.cer

keytool -import -v -alias client -file /usr/local/tomcat/client.cer -keystore /usr/local/tomcat/tomcat.keystore -storepass xxx

第四步:
让服务器信任服务端证书(同第三步)

keytool -export -v -alias tomcat -keystore /usr/local/tomcat/tomcat.keystore -storepass xxx -rfc -file /usr/local/tomcat/server.cer

keytool -import -v -alias tomcat -file /usr/local/tomcat/server.cer -keystore /usr/local/tomcat/client.truststore -storepass xxx

第五步:
list命令查看服务器的证书库,我们可以看到两个输入,一个是服务器证书,一个是受信任的客户端证书:

keytool list -keystore /usr/local/tomcat/tomcat.keystore

第六步:
在tomcat的server.xml文件中配置相关参数

 <Connector port="443" protocol="org.apache.coyote.http11.Http11Protocol"
            maxThreads="150" SSLEnabled="true" scheme="https" secure="true"        keystoreFile="/tomcat.keystore" clientAuth="false" sslProtocol="TLS" keystorePass="xxxx"/>


 <Connector connectionTimeout="20000" port="80" protocol="HTTP/1.1" redirectPort="443"/>

你可能感兴趣的:(tomcat,linux,Java开发经验积累)