使用keytool制作自签名证书以及tomcat配置双向认证

一、rsa算法、公钥、私钥、数字签名

• rsa算法：rsa算法是ISO推荐的公钥数据加密的标准
• 公钥：加密客户端数据
• 私钥：解密客户端数据
• 数字签名：利用私钥进行数据加密就是数字签名的用处

二、证书格式

格式	作用
.cer .der	二进制格式，只保存证书，不保存私钥
.crt	可以是二进制格式也可以是文本格式，只保存证书，不保存私钥
.pem	文本格式，可保存证书可保存私钥
.pfx .p12	二进制格式，同时保存证书和私钥
.keystore .truststore	二进制格式，同时保存证书和私钥

三、根证书直接导入到服务器的密钥存储库

直接将根证书的密钥对保存在密钥存储库比较简单

1. 创建一个服务端的密钥存储库

keytool -genkey -v -alias server -keyalg RSA -keystore server.keystore -validity 3650

2. 生成客户端证书

keytool -genkey -v -alias mykey -keyalg RSA -storetype PKCS12 -keystore client.p12

3. 服务器信任客户端证书
   3.1 导出服务端证书

   keytool -export -alias mykey -keystore client.p12 -storetype PKCS12 -storepass 12345678 -rfc -file client.cer
   

   3.2 服务端信任客户端

   keytool -import -v -file client.cer -keystore server.keystore
   

4. 客户端信任服务端证书
   客户端要想信任服务需要安装根证书到客户端

keytool -keystore server.keystore -export -alias server -file server.cer

5. tomcat的配置如下
   <Connector port="443" protocol="org.apache.coyote.http11.Http11NioProtocol" maxThreads="1000" minSpareThreads="100" maxSpareThreads="1000" server=" " enableLookups="false" disableUploadTimeout="true" acceptCount="1000" connectionTimeout="8000" SSLEnabled="true" scheme="https" maxHttpHeaderSize="8192" secure="true" minProcessors="100" maxProcessors="1000" clientAuth="true" sslEnabledProtocols="TLSv1.2" URIEncoding="UTF-8" maxPostSize="-1" maxParameterCount="-1" allowUnsafeLegacyRenegotiation="false" keystoreFile="/root/ca3/server.keystore" keystorePass="12345678" truststoreFile="/root/ca3/server.keystore" truststorePass="12345678" />
   其中clientAuth必须设置成true，keystoreFile和truststoreFile指向刚才生成文件的路径

6. 启动tomcat，当客户端没有安装任何证书时候
   

7. 当客户端安装客户端证书,就可以访问网页了，还是显示不安全
   
   

8. 安装根证书到受信任的根证书发布机构
   
   
   目前只是ie浏览器支持这种自签名，google若是需要则需要san

四、支持二级证书以及动态签发证书

1. 支持二级证书如下
   
2. 找到openssl.conf，把req_extensions这个注释放开，添加如下内容

[ v3_req ]

# Extensions to add to a certificate request

basicConstraints = CA:FALSE
keyUsage = nonRepudiation, digitalSignature, keyEncipherment
subjectAltName = @alt_names

[alt_names]
DNS.1 = test.com
IP.1 = 192.168.0.1

1. 创建根证书私钥文件

openssl genrsa -des3 -out root.key 2048

2. 创建根证书请求文件

openssl req -new -key root.key -out root.csr

Common Name不需要写，空即可

3. 创建一个根证书

openssl x509 -req -days 3650 -sha256 -extfile /etc/ssl/openssl.cnf -extensions v3_ca -signkey root.key -in root.csr -out root.crt

4. 创建服务器keystore

keytool -genkeypair -alias server -keyalg RSA -keysize 2048 -dname "CN=你的ip,OU=bj,S=bj,C=CN" -keypass 12345678 -validity 3650 -keystore server.keystore -storepass 12345678

![在这里插入图片描述](https://img-blog.csdnimg.cn/20210331005834713.png#pic_center)

5. 创建一个证书请求

keytool -certreq -file server.csr -keystore server.keystore -alias server -ext SAN=ip:172.16.9.73

6. 对请求签名创建服务器证书

openssl x509 -req -days 3650 -sha256 -extfile /etc/ssl/openssl.cnf -extensions v3_req -CA root.crt -CAkey root.key -CAcreateserial -in server.csr -out server.crt

7. 导入根证书和服务器证书到keystore

keytool -importcert -keystore server.keystore -file root.crt
keytool -importcert -alias server -keystore server.keystore -file server.crt

8. 创建客户端证书

openssl genrsa -des3 -out client.key 2048
openssl req -new -key client.key -out client.csr
openssl x509 -req -days 3650 -sha256 -extfile /etc/ssl/openssl.cnf -extensions v3_req -CA root.crt -CAkey root.key -CAcreateserial -in client.csr -out client.crt
openssl pkcs12 -export -in client.crt -inkey client.key -out client.p12 -name "client"

9. 将客户端证书和服务器根证书按照之前一样安装在客户端