tomcat安全加固，配置https，keystore生成证书，证书密钥以加密方式配置

一、前言

前段时间，做了一个新项目。在项目打包时，将jdk和tomcat打包到版本包里了，还贴心的附上了在linux环境安装以及配置教程，结果被怼了。
一则是说不需要安装jdk，只需要安装jre，即可让项目跑起来。jdk是java开发工具，jre是java运行环境，jdk是包含jre的。安装过jdk的都知道，在安装jdk的过程中，还会单独让装一个jre的，其实这个地方的jre不用安装，因为jdk里面是包含jre的，在配置环境变量的时候，也通常不会去配置到单独安装的jre的，而是直接指到jdk下的jre。
一则是说这个tomcat不安全，需要给tomcat安全加固和优化。这不就涉及到知识盲点了吗？

二、tomcat安全加固

1.关闭shutdown端口

在server.xml中一般配置有三个端口，一个是shutdown的端口，监听停止tomcat的命令，一个是http的监听端口，再一个是AJP的监听端口。
shutdown的默认配置如下：

 <Server port="8005" shutdown="SHUTDOWN">

那么当其他用户能telnet到这个ip的端口，就可以使用SHUTDOWN来停止tomcat服务。
启动tomcat如下：

在windown10中默认telnet服务是不开启的，想要尝试的同学需要先开启telnet服务。
在cmd中telnet命令如下，点击确定，在Telnet新窗口输入SHUTDOWN，即可看到tomcat服务已关闭。

那么就需要修改默认的端口以及关闭tomcat的命令。例子如下：

<Server port="18000" shutdown="STOP123">

2.删除ROOT等预置项目

在webapps下有tomcat预先放置的项目。如下图：

这些项目使得我访问http://127.0.0.1:8080就可以访问tomcat的管理等页面。
删除掉之后，再次访问这个路径，就会显示报错。

3.关闭AJP端口

当用不上ajp端口时，需要将如下代码注释掉。

 <!--   <Connector port="8009" protocol="AJP/1.3" redirectPort="8443" /> -->

4.注释tomcat用户配置

这个用户配置在tomcat-users.xml中。如下：

5.开启tomcat的access日志

修改conf/server.xml配置，开启access日志，在logs目录下会生成localhost_access_log.txt，记录每次请求。
如下图：

6.禁止列出目录

修改conf/web.xml的listings为false
其实上述的大多数配置，在tomcat9中已经配置，所以为了安全，请使用高版本tomcat.

7.最小权限

安装使用tomcat时，不要使用root用户。同时bin目录下的sh脚本权限要限制在最小范围。

8.使用https

tomcat默认的使用的是http，需要修改为使用https的connector。
在conf/server.xml中配置https如下：

<Connector port="8080" protocol="HTTP/1.1"
               connectionTimeout="20000"
               redirectPort="8443" />

<Connector port="8443" protocol="org.apache.coyote.http11.Http11NioProtocol"
    minSpareThreads="5" maxSpareThreads="75" enableLookups="true" disableUploadTimeout="true"
    acceptCount="100"  maxThreads="200" SSLEnabled="true" scheme="https" secure="true"
    keystoreFile="conf/test.keystore" keystorePass="123456" keyAlias="ykqtest"
    clientAuth="false" sslProtocol="TLS" />

keyAlias为生成证书的时的别名。
keystoreFile为证书路径，我这个文件是放在了conf目录下。
keystorePass为证书密码。
与此同时需要注意http的redirectPort端口为https的端口号，这样访问http的端口就会重定向到https。
附上生成证书的命令：

keytool -genkey -validity 36000 -alias ykqtest -keyalg RSA -keystore d:\test.keystore

36000这个数字是以天为单位，表示证书有效期为100年。
ykqtest是证书的别名。
生成证书后，将keystore文件复制到tomcat的conf目录下即可。

9.强制https访问

还需要修改conf/web.xml，使得必须使用https端口才能访问，配置如下：

	<login-config>
  ·
		<auth-method>CLIENT-CERTauth-method>
		<realm-name>Client Cert Users-only Arearealm-name>
	login-config>

	<security-constraint>
	  
		<web-resource-collection >
			<web-resource-name >SSLweb-resource-name>
			<url-pattern>/*url-pattern>
		web-resource-collection>
		<user-data-constraint>
			<transport-guarantee>CONFIDENTIALtransport-guarantee>
		user-data-constraint>
	security-constraint>

增加了上面这个配置后，假如关闭了https的connector，只保留http的connector，也无法通过http访问服务，因为这个地方强制必须使用https来访问。

10.禁止不安全的请求方式

下列http的不安全的请求方式配置在web.xml中，禁止使用，只允许GET和POST方式

<security-constraint>
		<web-resource-collection>
			<url-pattern>/*url-pattern>
			<http-method>PUThttp-method>
			<http-method>DELETEhttp-method>
			<http-method>HEADhttp-method>
			<http-method>OPTIONShttp-method>
			<http-method>TRACEhttp-method>
		web-resource-collection>
		<auth-constraint>
		auth-constraint>
	security-constraint>

11.加密证书私钥

上面证书的密钥是以明文的方式存储的，还需要将密钥以加密的方式配置在server.xml文件中。
先建立一个maven项目，来重写org.apache.coyote.http11.Http11NioProtocol（上述Connector配置的http协议类）中设置证书秘钥的方法。

1）pom.xml

<!-- 这两个依赖是Http11NioProtocol类依赖的jar包 -->
 	<dependency>
	    <groupId>org.apache.tomcat</groupId>
	    <artifactId>tomcat-juli</artifactId>
	    <version>9.0.36</version>
	    <scope>provided</scope>
	</dependency>
	<dependency>
		<groupId>org.apache.tomcat.embed</groupId>
		  <artifactId>tomcat-embed-core</artifactId>
		  <version>9.0.8</version>
	</dependency>

2）重写Http11NioProtocol类

package com.ykq.util;

import java.util.Base64;
import java.util.Base64.Decoder;
import org.apache.coyote.http11.Http11NioProtocol;

/**
 * @author YKQ
 * 重写Http11NioProtocol类
 */
public class ReSetHttpProtocol extends Http11NioProtocol {
	/**
	 * 重写设置证书密码的方法
	 */
	public void setKeystorePass(String certificateKeystorePassword) {
		// 原先的方法
		//super.setKeystorePass(certificateKeystorePassword);
		// 这里简单使用一个base64加解密来存储证书密码，实际环境可以使用AES方式加解密
		Decoder decoder = Base64.getDecoder();
		String password = new String(decoder.decode(certificateKeystorePassword));
		super.setKeystorePass(password);
	}
}

3）导出jar包，将其放入tomcat的lib目录下

4）重新配置https

<Connector port="8443" protocol="com.ykq.util.ReSetHttpProtocol"
   minSpareThreads="5" maxSpareThreads="75" enableLookups="true" disableUploadTimeout="true"
   acceptCount="100"  maxThreads="200" SSLEnabled="true" scheme="https" secure="true"
   keystoreFile="conf/test.keystore" keystorePass="MTIzNDU2" keyAlias="ykqtest"
      clientAuth="false" sslProtocol="TLS" />

上面的com.ykq.util.ReSetHttpProtocol，就是重写的Http11NioProtocol。
keystorePass=“MTIzNDU2” 配置的是加密后的证书秘钥.

12.配置sessionId的长度

在公司的红线要求中有一条，sessionId的长度必须是48位以上。那么需要在context.xml中配置如下：

<Manager>
	<SessionIdGenerator sessionIdLength = "24"/>
</Manager>

这个地方配置长度24，生成的sessionId，即可达到48位。如下图：