专栏首页软件工程师成长笔记HTTP转HTTPS—使用OpenSSL创建自签名SSL证书以及Tomcat配置SSL证书实战

HTTP转HTTPS—使用OpenSSL创建自签名SSL证书以及Tomcat配置SSL证书实战

1 背景

对于api服务器,我们不能让访问者先登录再进行访问这样不安全,也不友好。 http协议没有任何的加密以及身份验证的机制,即时是token认证,也非常容易遭遇窃听、劫持、篡改,因此会造成个人隐私泄露,恶意的流量劫持等严重的安全问题。

1.1 https如何保证安全

HTTPS是以安全为目标的HTTP通道,简单讲是HTTP的安全版。即HTTP下加入SSL层,HTTPS的安全基础是SSL,因此加密的详细内容就需要SSL。它是一个URI scheme(抽象标识符体系),句法类同http:体系,用于安全的HTTP数据传输。https:URL表明它使用了HTTPS,但HTTPS存在不同于HTTP的默认端口及一个加密/身份验证层(在HTTP与TCP之间)。

1.2 身份认证(CA数字证书)

https协议中身份认证的部分是由数字证书来完成的,证书由公钥、证书主体、数字签名等内容组成,在客户端发起SSL请求后,服务端会将数字证书发给客户端,客户端会对证书进行验证,并获取用于秘钥交换的非对称密钥。 数字证书有两个作用:

1)身份授权。确保浏览器访问的网站是经过CA验证的可信任的网站。 2)分发公钥。每个数字证书都包含了注册者生成的公钥。在SSL握手时会通过certificate消息传输给客户端。

申请一个受信任的数字证书通常有如下流程:

1)终端实体(可以是一个终端硬件或者网站)生成公私钥和证书请求。 2)RA(证书注册及审核机构)检查实体的合法性。如果个人或者小网站,这一步不是必须的。 3)CA(证书签发机构)签发证书,发送给申请者。 4)证书更新到repository(负责数字证书及CRL内容存储和分发),终端后续从repository更新证书,查询证书状态等。

注册备案过的域名,可以供我们使用,申请SSL证书,需要SSL证书进行认证。SSL证书有很多途径都可以申请,比如国内的阿里云,腾讯云等都是比较方便的,而且还有免费的证书可以申请,都是一年的使用时间。本文中采用的是OpenSLL自签名创建SLL,毕竟是免费的。

2 OpenSLL下载安装

2.1 下载OpenSSL

本次安装是在centos7上安装,首先下载OpenSSL,如果需要window版本(https://oomake.com/download/openssl),我这边下载了openssl-1.1.1d.tar.gz。

2.2 安装OpenSSL

由于我是window10系统,使用Xshell远程Linux系统,需要上传和下载文件,命令安装lrzsz

# yum -y install lrzsz 

安装完成后,可以开始使用 rz(上传)和 sz(下载)指令。

#rz
上传完成后即可依次执行以下指令安装了
# tar -xzf openssl-1.1.1d.tar.gz

# cd openssl-1.1.1d

# mkdir /usr/local/openssl

# ./config --prefix=/usr/local/openssl

# make

# make install

这样就安装完成了,接下来一些辅助步骤。

2.3 创建软连接

# which openssl 
/usr/bin/openssl
为了使用方便,以及以后版本更新方便,可以创建软连接,如下:
# ln -s /usr/local/openssl/bin/openssl /usr/bin/openssl
此步骤可能会报异常,我就忽略了,如果您能明白,欢迎指导!!!

2.4 执行以下命令

# cd /usr/local/openssl

# ldd /usr/local/openssl/bin/openssl
    linux-vdso.so.1 =>  (0x00007fff7b9e5000)
    libssl.so.1.1 => not found
    libcrypto.so.1.1 => not found
    libdl.so.2 => /lib64/libdl.so.2 (0x00007f7faa7aa000)
    libpthread.so.0 => /lib64/libpthread.so.0 (0x00007f7faa58e000)
    libc.so.6 => /lib64/libc.so.6 (0x00007f7faa1c1000)
    /lib64/ld-linux-x86-64.so.2 (0x00007f7faa9ae000)
    
安装OK

2.5 查看版本

# openssl version
OpenSSL 1.0.2k-fips  26 Jan 2017

3 创建自签名的SSL证书和私钥

3.1 生成私钥(key文件)

# -genra    生成RSA私钥
# -des3 des3算法
# -out server.key 生成的私钥文件名
# -2048 私钥长度

#openssl genrsa -des3 -out server.pass.key 2048
输入一个4位以上的密码。

3.2 去除私钥中的密码

# openssl rsa -in server.pass.key -out server.key

注意:有密码的私钥是server.pass.key,没有密码的私钥是server.key 在第3.1步创建私钥的过程中,由于必须要指定一个密码。而这个密码会带来一个副作用,那就是在每次Apache启动Web服务器时,都会要求输入密码,这显然非常不方便。所以要删除私钥中的密码。

3.3 生成CSR(证书签名请求)

# -req 生成证书签名请求
# -new 新生成
# -key 私钥文件
# -out 生成的CSR文件
# -subj 生成CSR证书的参数

openssl req -new -key server.key -out server.csr -subj "/C=CN/ST=Shanghai/L=Shanghai/O=cetc/OU=cetc/CN=gitlab.cetc.cn"

subj参数说明如下:

字段

字段含义

示例

/C=

Country 国家

CN

/ST=

State or Province 省

Shanghai

/L=

Location or City 城市

Shanghai

/O=

Organization 组织或企业

cetc

/OU=

Organization Unit 部门

wlst

/CN=

Common Name 域名或IP

wlst.com

3.4 生成自签名SSL证书

# -days 证书有效期

#openssl x509 -req -days 365 -in server.csr -signkey server.key -out server.crt

X.509证书包含三个文件:key,csr,crt。

  • key是服务器上的私钥文件,用于对发送给客户端数据的加密,以及对从客户端接收到数据的解密
  • csr是证书签名请求文件,用于提交给证书颁发机构(CA)对证书签名
  • crt是由证书颁发机构(CA)签名后的证书,或者是开发者自签名的证书,包含证书持有人的信息,持有的公钥,以及签署者的签名等信息 备注:在密码学中,X.509是一个标准,规范了公开秘钥认证、证书吊销列表、授权凭证、凭证路径验证算法等。

在这里插入图片描述

4 将.key和.crt文件转换成.jks文件

4.1 先使用openssl 工具 将 crt和key格式的证书转还成pfx:

 #openssl pkcs12 -export -out server.pfx -inkey server.key -in server.crt

其中:server.pfx (转后的pfx)mycert.key,mycert.crt( crt和key格式的证书)

注意:该步骤需要输入密码passward,该密码2与3均需要用到

4.2 查看证书别名

 #keytool -list -v -keystore server.pfx

4.3 在使用jdk自带的keytool将pfx格式文件转为jks

#keytool -importkeystore -srckeystore  server.pfx -srcstoretype pkcs12 -destkeystore mycert.jks -deststoretype JKS  -alias 1

其中:-alias(设置别名) mycert.jks(转还后jks) server.pfx(需转还的pfx)

注意:该步骤需要输入3次密码,均采用1中的passward。

5 Tomcat配置SSL证书

此处我的Tomcat安装在Windows10系统中;

在Server中配置:

  • 声明开启HTTPS (SSL认证)
  • 声明侦听443端口(并确保已在防火墙上打开443端口)
  • 复制已签名的SSL证书和私钥到指定位置,并设置正确的文件权限
  • 配置已签名的SSL证书(mycert.jks)的位置
  • 配置将HTTP请求都重定向到HTTPS

5.1 将证书mycert.jks拷贝到conf文件夹下。

在这里插入图片描述

5.2 配置server.xml文件,需要修改三个地方

(1)把

在这里插入图片描述

改为:

在这里插入图片描述

其中第一个80端口是为HTTP(HyperText Transport Protocol)即超文本传输协议开放的,此为上网冲浪使用次数最多的协议,第二个443端口是SSL的专用端口;

(2)把

在这里插入图片描述

改为:

在这里插入图片描述

使用443端口的理由同上;

(3)把

在这里插入图片描述

改为:

在这里插入图片描述

首先去掉注释,然后certificateKeystoreFile属性是让你告诉服务器需要哪个SSL证书,后面就填复制过去的那个jks文件的名字(记得带上jks后缀),然后加上certificateKeystorePassword这个属性,后面的属性值是同第4步中的密码。(我全局都用一个密码,免得出错)

这就配置完成server.xml啦。

5.3 启动Tomcat

到bin目录下,双击执行startup.bat

6 在浏览器中访问

在浏览器中打开https://localhost来访问。

在这里插入图片描述

在Firefox浏览器中可以添加Security Exception来忽略HTTPS错误警告。

Chrome浏览器可以尝试通过导入CA证书的方式来忽略HTTPS错误警告。

注意:Chrome浏览器可能有导入CA证书后仍然无法访问的问题;不同浏览器对自签名SSL证书的检查和限制也有所区别。

注意

自签名的SSL证书存在安全隐患,在生产环境上需要购买和使用经权威机构认证和办法的证书。

参考文献 OpenSSL下载安装 使用OpenSSL生成自签名SSL证书 自签名证书生成过程 Tomcat安装SSL证书

本文参与腾讯云自媒体分享计划,欢迎正在阅读的你也加入,一起分享。

我来说两句

0 条评论
登录 后参与评论

相关文章

  • centOS7安装MySQL流程介绍

    1、隐藏密码 如:MySQL 连接远程数据库(192.168.5.116),端口“3306”,用户名为“root”,密码“123456”(这是我乱写的地址哈)...

    麦克劳林
  • linux开放MySQL3306端口

    在/etc/mysql/文件夹中找,可以找到上图信息的.cnf的文件,注释后保存;

    麦克劳林
  • form表单提交涉及到slider(jRange)

    最近做商城的时候,需要做选择价格区间的这么一个功能,为了让选择更加直观,更加灵活;在网上搜索到了一款不错的插件,一款jQuery插件jRange:

    麦克劳林
  • apache配置https服务

    1、创建自己签名的证书 #创建CA签名的证书,需要用到openssl yum install openssl ...

    用户1214695
  • unable to load Private Key 6572:error:0906D06C:PEM routines:PEM_read_bio:no start line:.\crypto\pem\

    版权声明:本文为博主原创文章,未经博主允许不得转载。python版本为...

    锦小年
  • 本地搭建https服务

    作者:狼_来_了 链接:https://www.jianshu.com/p/529cfb1ef84a 來源:简书 简书著作权归作者所有,任何形式的转载都...

    windseek
  • nginx反向代理cas-server之2:生成证书,centOS下使用openssl生成CA证书(根证书、server证书、client证书)

    版权声明:本文为博主原创文章,遵循 CC 4.0 BY-SA 版权协议,转载请附上原文出处链接和本声明。 ...

    eguid
  • ZooKeeper 学习之logback配置文件

    大数据工程师-公子
  • numpy: 常用api速查

    Petrichor_
  • MySQL支持的数据类型

    这些类型包括严格数值数据类型(INTEGER、SMALLINT、DECIMAL和NUMERIC),以及近似数值数据类型(FLOAT、REAL和DOUBLE PR...

    changxin7

扫码关注云+社区

领取腾讯云代金券