Взаимная аутентификация с Tomcat 7

Ok-после копания намного больше, я, наконец, получил эту работу. Большое спасибо @Dave G и этот учебник:http://java-notes.com/index.php/two-way-ssl-on-tomcat из которого большинство этих инструкций перефразированы.

как правило, шаги для получения функции взаимной аутентификации следующие:

1. создайте сертификат для сервера tomcat. Клиент должен доверять этому сертификату.
2. создать хранилище ключей для tomcat сервер и импортируйте в него сертификат сервера.
3. создать сертификат для клиента. Сервер должен доверять этому сертификату.
4. импорт клиент сертификат сервер хранилище
5. обновите сервер tomcat.xml-файл с правильным соединителем XML.

вышеуказанные шаги необходимы на сервере. После завершения настройки клиента выполните следующий:

1. скопируйте сертификат клиента с сервера на клиент.
2. используйте сертификат клиента при общении с сервером (этот процесс зависит от характера клиентского приложения).

для конфигурации сертификата я выполнил следующее на машине сервера:

# For the following commands, set the values in parenthesis to be whatever makes sense for your environment.  The parenthesis are not necessary for the command.

# This is an all-in-one command that generates a certificate for the server and places it in a keystore file, while setting both the certifcate password and the keystore password.
# The net result is a file called "tomcat.keystore". 

keytool -genkeypair -alias (serveralias) -keyalg RSA -dname "CN=(server-fqdn),OU=(organizationalunit),O=(organization),L=(locality),ST=(state),C=(country)" -keystore tomcat.keystore -keypass (password) -storepass (password)

# This is the all-in-one command that generates the certificate for the client and places it in a keystore file, while setting both the certificate password and the keystore password.
# The net result is a file called "client.keystore"

keytool -genkeypair -alias (clientalias) -keyalg RSA -dname "CN=(client),OU=(organizationalunit),O=(organization),L=(locality),ST=(state),C=(country)" -keypass (password) -keystore client.keystore -storepass (password) 

# This command exports the client certificate.  
# The net result is a file called "client.cer" in your home directory.

keytool -exportcert -rfc -alias (clientalias) -file client.cer -keypass (password) -keystore client.keystore -storepass (password)

# This command imports the client certificate into the "tomcat.keystore" file.

keytool -importcert -alias (clientalias) -file client.cer -keystore tomcat.keystore -storepass (password) -noprompt

сертификаты сейчас должны быть настроены соответствующим образом. Следующим шагом является настройка соединителя в tomcat сервер.XML. Добавьте элемент соединителя, который выглядит следующим образом:

<Connector port="8443"
    maxThreads="150"
    scheme="https"
    secure="true"
    SSLEnabled="true"
    truststoreFile="/full/path/to/tomcat.keystore"
    truststorePass="(password)"
    keystoreFile="/full/path/to/tomcat.keystore"
    keystorePass="(password)"
    clientAuth="true"
    keyAlias="serverkey"
    sslProtocol="TLS"/>      

обратите внимание, что в приведенном выше XML-код:

1. атрибут "port" может быть любым, что вы хотите.
2. атрибуты "keystoreFile" и "truststoreFile" должны быть полными путями. Tomcat не выглядит в том же каталоге, что и сервер.XML по умолчанию.
3. атрибуты "keystorePass" и "truststorePass" должны соответствовать значению (password), которое вы использовали при создании кот.файл keystore.
4. атрибут "clientAuth"должны установите значение "true". Это то, что запускает взаимную аутентификацию.

кроме того, в сервера.xml, убедитесь, что вы НЕ иметь определенный AprLifecycleListner. XML для этого слушателя будет выглядеть примерно так:

<Listener className="org.apache.catalina.core.AprLifecycleListener" SSLEngine="on" />

этот элемент должен быть удален / прокомментирован. AprLifecycleListener не настраивается таким же образом, как описано выше, и не будет работать с этими инструкциями.

перезапустить tomcat. Конфигурация сервера должна быть завершена.

я протестировал свою работу с помощью Firefox, потому что к нему легко добавить клиентские сертификаты. Откройте Firefox и попробуйте подключиться к конечной точке службы tomcat на порту, определенном в соединителе.

Ex: https://mytomcatdomain.com:8443/test

когда вы это сделаете, вы должны получить стандартное предупреждение от Firefox о ненадежном соединении, потому что мы создали самозаверяющий сертификат для нашего сервера Tomcat. Добавьте исключение для сертификата, чтобы наш клиент (Firefox) доверял нашему серверу (Tomcat).

как только вы добавили исключение, вы должны получить сообщение "безопасное соединение не удалось". Код ошибки - "ssl_error_bad_cert_alert". Это подтверждает, что наш сервер Tomcat запрашивает проверку подлинности клиента. Запрос не выполняется, потому что мы не настроили Firefox для отправки сертификата доверенного клиента еще.

чтобы настроить Firefox, нам нужно сделать немного больше магии:

// Create a file called DumpPrivateKey.java.  The contents should look like so:
public class DumpPrivateKey {
public static void main(String[] args) throws Exception {
  final String keystoreName = args[0];
    final String keystorePassword = args[1];
    final String alias = args[2];
    java.security.KeyStore ks = java.security.KeyStore.getInstance("jks");
    ks.load(new java.io.FileInputStream(keystoreName), keystorePassword.toCharArray());
    System.out.println("-----BEGIN PRIVATE KEY-----");
    System.out.println(new sun.misc.BASE64Encoder().encode(ks.getKey(alias, keystorePassword.toCharArray()).getEncoded()));
    System.out.println("-----END PRIVATE KEY-----");
  }
}

скомпилируйте файл java с помощью следующей команды:

javac DumpPrivateKey.java

теперь мы собираемся использовать эту небольшую утилиту для извлечения ключа из клиента.keystore файл мы создаем выше. Скопируйте клиента.keystore и клиента.файлы cer в том же каталоге, что и ваш класс DumpPrivateKey. Выполните следующие действия:

# This extracts the client key from the client keystore

java DumpPrivateKey client.keystore (password) clientkey > clientkey.pkcs8

# This creates a client.p12 file that can be used by Firefox

openssl pkcs12 -export -in client.cer -inkey clientkey.pkcs8 -password pass:(password) -out client.p12

обратите внимание, что в приведенном выше коде (пароль) должен быть пароль, который вы использовали для создания клиента.хранилище ключей.

Откройте настройки Firefox. Перейдите на вкладку "сертификаты". Нажмите на кнопку" Просмотреть сертификаты". Перейдите на вкладку "ваши сертификаты".

нажмите на кнопку "Импорт" и выберите "клиента.файл P12", который был создан ранее. Вам будет предложено ввести пароль для сертификата клиента.

если "клиент.p12 " был успешно импортирован, теперь вы можете обновить Страница Firefox, и вы должны получить успешный ответ от конечной точки сервера Tomcat.