SSL相互生成过程的流程

SSL双向的生产过程SSL双向的生产过程-包括单向SSL 1.证书生产: 1.生成服务器密钥（库）: keytool -genkey -alias server -keyalg RSA -keysize 2048 -validity 3650 -dname“ CN =本地主机，OU = DTY，O = BMC，L =北京，ST =北京，C = CN” -keypass 123456 -keystore server.jks -storepass 123456CN: [域名]或[IP ]要签名（注意: 这是要配置的SSL服务器的IP或域名）OU: 组织单位名称，例如: [公司注册缩写] O: 组织名称，例如: [[公司英语全名] L: 城市或地区名称，例如: [Beijing] ST: 州或省名称，例如: [Beijing] C: 单位的两个字母的国家/地区代码ssl认证，例如: [CN] 2.服务器密钥（库）通过验证生成: keytool -list -v -keystore server.jks- storepass 1234561/19 2014/5 / 31SSL双向身份验证证书的生成过程3.创建自签名ce验证在步骤1中生成的服务器密钥（库）: keytool -selfcert -alias服务器-keystore server.jks -storepass 1234564，验证生成服务器密钥（库）: keytool -list -v -keystore server.jks -storepass 1234565，导出自签名证书: 2/19 2014/5/31 SSL双向身份验证证书生产过程keytool -export -alias服务器-keystore server.jks-文件服务器.cer -storepass 123456说明: 此证书是受信任的根证书颁发机构稍后再导入浏览器.

6. 生成客户端密钥（库）: 注意: 默认情况下，keytool –genkey命令生成密钥库文件，但是为了成功将其导入IE或其他浏览器，文件格式应为PKCS12. 稍后，此P12文件将被导入IE或其他浏览器. keytool -genkey -alias client -keyalg RSA -keysize 2048 -validity 3650 -dname“ CN =本地主机ssl认证，OU = DTY，O = BMC，L =北京，ST =北京，C = CN” -storetype PKCS12 -keypass 123456 -keystore client.p12 -storepass 123456CN: 要签名的[域名]或[IP]（特别注意: 这是客户组织的域名或IP）OU: 组织单位名称，例如: [公司注册缩写] O: 组织名称，例如: [公司的全英文名称] L: 城市或地区名称，例如: [北京] ST: 州或省名称，例如: [Beijing] C: 单位的两个字母的国家代码，例如如: [CN] 7.提取客户端密钥密钥的公用密钥: 仅客户端密钥库文件不足，并且需要证书文件.

毕竟，证书文件是直接提供给外界的公共密钥证书，因此需要将客户端密钥库文件中的公共密钥导入证书文件中. keytool -export -alias客户端-keystore client.p12 -storetype PKCS12 -rfc -file client.cer -storepass 1234563/19 2014/5 / 31SSL双向的生成过程8.将客户端密钥库的公钥导入到服务在终端密钥库中: keytool -import -v -file client.cer -keystore server.jks -storepass 1234569，验证生成的服务器密钥（库）: keytool -list -v -keystore server.jks -storepass 1234564/19 2014 / 5 / 31SSL双向身份验证证书的生成过程说明: 验证步骤8的公钥是否成功导出. 2.证书导入: 1.导入客户端密钥（库）: a）对于IE浏览器，选择Internet选项，显示如下: 5/19 2014/5 / 31SSL双向的b）单击证书按钮，显示如下: 6/19 2014/5 / 31SSL双向c）单击导入，显示如下: 7/19 2014/5 / 31SSL双向制作d）单击“下一步”，显示如下: 注意: 选择文件必须确认文件格式为: e）单击“下一步”，然后键入密码以创建[客户端密钥（库）]密码，这是123456: 8/19 2014/5 / 31SSL双向的生成过程f）选择下一步，如下所示: 9/19 2014/5 / 31SSL双向的生成过程选择[将所有证书放入以下存储（P）]为: 单个，然后单击下一步，显示如下: G）单击完成，将显示如下: 10/19 2014/5 / 31SSL双向的生成过程单击“确定”，然后完成将[客户端密钥（库）]导入浏览器的操作.

2. 导入服务器密钥（库）的受信任的根证书: a）对于IE浏览器，选择Internet选项，显示如下: 11/19 2014/5 / 31SSL双向的生成过程b）单击证书该按钮显示如下: 12/19 2014/5 / 31SSL双向的生成过程c）单击导入，显示如下: 13/19 2014/5 / 31SSL双向的生成过程d ）单击“下一步”，显示如下: e）选择要导入的文件，这里我们选择在步骤5中导出的server.cer证书，单击“下一步”以显示以下内容: 14/19 2014/5 / 31SSL双向身份验证证书的产生过程f）将所有证书选择到以下存储中: 收件人的根证书颁发机构，单击“下一步”，显示如下: 15/19 2014/5 / 31SSL双向身份验证证书的产生过程g）单击“完成”，显示如下: h）2014/5/31因为e我们是自签名证书，因此Windows会给出以上安全提示，选择“是”，显示16 / 19SSL双向身份验证证书的生成过程如下所示: 单击确定，然后单击[服务器密钥（库）受信任的根证书]浏览器已完成. 三，服务器配置SSL: 请注意，由于应用程序服务器不同，服务器配置SSL也有所不同. 这里仅以tomcat6为例: 1.配置双向SSL: a）b）将服务器密钥（库）文件置于[％TOMCATE_HOME％/ onf]下: 修改配置文件[％TOMCATE_HOME％/ onf / server.xml]的具体配置如下: 参数说明: 如果希望Tomcat要求此SSL要求所有SSL客户端将clientAuth显示为客户端证书，请将此值设置为true.

如果创建的密钥库文件不在Tomcat认为的默认位置（运行Tomcat的主目录中名为.keystore的文件），请添加keystoreFile属性. 您可以指定取决于$ CATALINA_BASE环境变量的绝对路径或相对路径. 如果使用了与Tomcat期望不同的密钥库（和证书）密码keystorePass（changeit），请添加此属性. 如果使用PKCS12密钥库，请添加此属性. 有效值为JKS keystoreType和PKCS12. 套接字使用的加密/解密协议. 如果您使用的是Sun的JVM，则sslProtocol不建议更改此值. 据说IBM的TLS协议1.4.1版的实现与某些流行的浏览器不兼容. 在这种情况下，请使用SSL. 此套接字允许的密码的逗号分隔列表. 默认情况下，密码可用于使用任何可用的密码. 使用的X509算法. 默认值为Sun的实现（SunX509）. 对于IBM算法JVMS，应使用ibmX509.

对于其他JVM，请参阅JVM文档以获取正确的值. truststoreFile用于验证客户证书的trustStore文件. 18/19 2014/5 / 31SSL双向身份验证证书创建过程truststorePass用于访问trustStore的密码. 默认值为keystorePass. 如果使用与使用的KeyStore不同的TrustStore格式，则将truststoreType添加到此属性. 有效值为JKS和PKCS12. 2.配置单向SSL: a）修改配置文件[％TOMCATE_HOME％/ onf / server.xml]具体配置如下: <连接器端口=“ 8443”协议=“ org.apache.coyote.http11. Http11Protocol“ maxThreads =” 150“ SSLEnabled =” true“方案=” https“ secure =” true“ clientAuth =” false“ sslProtocol =” TLS“ keystoreFile =” conf / server.jks“ keystorePass =” 123456“ keystoreType =” JKS “ /> b）单向证书说明: 1.证书制作步骤[1、2、3、4、5] 2.证书导入步骤[2] 4.补充: 对于证书的安装，它通常可以在实际使用中提供连接，以允许用户下载证书. 如下红色框所示: 19/19 2014/5/31

本文来自电脑杂谈，转载请注明本文网址：
https://www.pc-fly.com/a/jisuanjixue/article-217569-1.html