HTTPS_SSL配置的步骤以及原理说明

  1. 说在前面

    1.单向认证，就是传输的数据加密过了，但是不会校验客户端的来源

    2.双向认证，如果客户端浏览器没有导入客户端证书，是访问不了web系统的，找不到地址，想要用系统的人没有证书就访问不了系统HTTPS概念

  2. HTTPS概念

    1）简介

    HTTPS（全称：Hypertext Transfer Protocol over Secure Socket Layer），是以安全为目标的HTTP通道，简单讲是HTTP的安全版。即HTTP下加入SSL层，HTTPS的安全基础是SSL，因此加密的详细内容就需要SSL。这个系统的最初研发由网景公司进行，提供了身份验证与加密通讯方法，现在它被广泛用于万维网上安全敏感的通讯，例如交易支付方面。

    2）HTTPS和HTTP的区别

    　　a. https协议需要到ca申请证书，一般免费证书很少，需要交费。

    　　b. http是超文本传输协议，信息是明文传输；https 则是具有安全性的ssl加密传输协议。

    　　c. http和https使用的是完全不同的连接方式，用的默认端口也不一样，前者是80，后者是443。

    d. http的连接很简单，是无状态的；HTTPS协议是由SSL+HTTP协议构建的可进行加密传输、身份认证的网络协议，比http协议安全。

    3）HTTPS的作用

    它的主要作用可以分为两种：一种是建立一个信息安全通道，来保证数据传输的安全；另一种就是确认网站的真实性。

    　　a． 一般意义上的https，就是服务器有一个证书。主要目的是保证服务器就是他声称的服务器，这个跟第一点一样；服务端和客户端之间的所有通讯，都是加密的。

    　　b. 具体讲，是客户端产生一个对称的密钥，通过服务器的证书来交换密钥，即一般意义上的握手过程。

    　　c. 接下来所有的信息往来就都是加密的。第三方即使截获，也没有任何意义，因为他没有密钥，当然篡改也就没有什么意义了。

    　　d．少许对客户端有要求的情况下，会要求客户端也必须有一个证书。

    这里客户端证书，其实就类似表示个人信息的时候，除了用户名/密码，还有一个CA 认证过的身份。因为个人证书一般来说是别人无法模拟的，所有这样能够更深的确认自己的身份。目前少数个人银行的专业版是这种做法，具体证书可能是拿U盘（即U盾）作为一个备份的载体。

  3. SSL简介

    1）简介

    　　SSL (Secure Socket Layer)为Netscape所研发，用以保障在Internet上数据传输之安全，利用数据加密(Encryption)技术，可确保数据在网络上之传输过程中不会被截取及窃听。它已被广泛地用于Web浏览器与服务器之间的身份认证和加密数据传输。SSL协议位于TCP/IP协议与各种应用层协议之间，为数据通讯提供安全支持。

    　　2）SSL提供的服务

    　　a.认证用户和服务器，确保数据发送到正确的客户机和服务器

    　　b.加密数据以防止数据中途被窃取

    　　c.维护数据的完整性，确保数据在传输过程中不被改变。

    　　3) SSL协议的握手过程

    　　SSL 协议既用到了公钥加密技术又用到了对称加密技术，对称加密技术虽然比公钥加密技术的速度快，可是公钥加密技术提供了更好的身份认证技术。SSL 的握手协议非常有效的让客户和服务器之间完成相互之间的身份认证，其主要过程如下：

    　　①客户端的浏览器向服务器传送客户端SSL协议的版本号，加密算法的种类，产生的随机数，以及其他服务器和客户端之间通讯所需要的各种信息。

    　　②服务器向客户端传送SSL协议的版本号，加密算法的种类，随机数以及其他相关信息，同时服务器还将向客户端传送自己的证书。

    　　③客户利用服务器传过来的信息验证服务器的合法性，服务器的合法性包括：证书是否过期，发行服务器证书的CA 是否可靠，发行者证书的公钥能否正确解开服务器证书的“发行者的数字签名”，服务器证书上的域名是否和服务器的实际域名相匹配。如果合法性验证没有通过，通讯将断开；如果合法性验证通过，将继续进行第四步。

    　　④用户端随机产生一个用于后面通讯的“对称密码”，然后用服务器的公钥（服务器的公钥从步骤②中的服务器的证书中获得）对其加密，然后传给服务器。

    　　⑤服务器用私钥解密“对称密码”(此处的公钥和私钥是相互关联的，公钥加密的数据只能用私钥解密，私钥只在服务器端保留。详细请参看： http://zh.wikipedia.org/wiki/RSA%E7%AE%97%E6%B3%95)，然后用其作为服务器和客户端的“通话密码”加解密通讯。同时在SSL 通讯过程中还要完成数据通讯的完整性，防止数据通讯中的任何变化。

    　　⑥客户端向服务器端发出信息，指明后面的数据通讯将使用的步骤⑤中的主密码为对称密钥，同时通知服务器客户端的握手过程结束。

    　　⑦服务器向客户端发出信息，指明后面的数据通讯将使用的步骤⑤中的主密码为对称密钥，同时通知客户端服务器端的握手过程结束。

    　　⑧SSL 的握手部分结束，SSL 安全通道的数据通讯开始，客户和服务器开始使用相同的对称密钥进行数据通讯，同时进行通讯完整性的检验。

  4. HTTPS_SSL配置的步骤：

服务器端单向认证：

  • 第一步：进入jdk的安装文件路径下面的bin目录；
  • 第二步：在bin目录下输入以下命令

    keytool -genkey -v -alias mykey -keyalg RSA -validity 3650 -keystore c:\sdust.keystore

    -dname "CN=你的ip,OU=cn,O=cn,L=cn,ST=cn,c=cn" -storepass 123456 -keypass 123456

    说明：

    keytool 是JDK提供的证书生成工具，所有参数的用法参见keytool –help

    -genkey 创建新证书

    -v详细信息

    -alias以”mykey”作为该证书的别名。这里可以根据需要修改

    -keyalgRSA 指定算法

    -keysize  指定算法加密后密钥长度

    -keystorec:\sdust.keystore保存路径及文件名

    -validity3650证书有效期，单位为天

    CN=你的ip,OU=cn,O=cn,L=cn,ST=cn,c=cn 基本信息的配置

    CN=你的ip 这个配置务必注意

    -storepass 123456789 -keypass 123456789 密码设置

  • 第三步：生成的文件如下图所示

  • 第四步:配置tomcat的server.xml文件[1]redirectPort端口号改为：443

    <Connector connectionTimeout="20000" port="80" protocol="HTTP/1.1" redirectPort="443" useBodyEncodingForURI="true"/>

    [2]SSL HTTP/1.1 Connector定义的地方，修改端口号为：443

    <Connector port="443" protocol="org.apache.coyote.http11.Http11Protocol"

    minSpareThreads="5" maxSpareThreads="75"

    enableLookups="true" disableUploadTimeout="true"

    acceptCount="100"  maxThreads="200" SSLEnabled="true" scheme="https" secure="true"

    keystoreFile="C:/sdust.keystore" keystorePass="123456"

    clientAuth="false" sslProtocol="TLS" />

    属性说明：clientAuth:设置是否双向验证，默认为false，设置为true代表双向验证keystoreFile:服务器证书文件路径keystorePass:服务器证书密码truststoreFile:用来验证客户端证书的根证书，此例中就是服务器证书truststorePass:根证书密码

    [3] AJP 1.3 Connector定义的地方，修改redirectPort为443

    <Connector port="8009" protocol="AJP/1.3" redirectPort="443"/>

  • 第五步：　重新启动Tomcat就可以了。

附加内容：若要使得应用只能通过https的方式访问，在该项目的web.xml文件中加入如下代码：

<login-config>
<!-- Authorization setting for SSL -->
<auth-method>CLIENT-CERT</auth-method>
<realm-name>Client Cert Users-only Area</realm-name>
</login-config>

<security-constraint>
<!-- Authorization setting for SSL -->
<web-resource-collection>
<web-resource-name>SSL</web-resource-name>
<url-pattern>/*</url-pattern>
</web-resource-collection>
<user-data-constraint>
<transport-guarantee>CONFIDENTIAL</transport-guarantee>
</user-data-constraint>
</security-constraint>
<!--
Require HTTPS for everything except /img (favicon) and /css.
-->
<security-constraint>
<web-resource-collection>
<web-resource-name>HTTPSOrHTTP</web-resource-name>
<url-pattern>*.ico</url-pattern>
<url-pattern>/img/*</url-pattern>
<url-pattern>/css/*</url-pattern>
</web-resource-collection>
<user-data-constraint>
<transport-guarantee>NONE</transport-guarantee>
</user-data-constraint>
</security-constraint>测试 ：在浏览器中输入:https://localhost:8443/，会弹出选择客户端证书界面，点击“确定”，会进入tomcat主页，地址栏后会有“锁”图标，表示本次会话已经通过HTTPS双向验证，接下来的会话过程中所传输的信息都已经过SSL信息加密。

可能存在的问题：

Eclipse中启动tomcat7.0，本地tomcat配置文件被eclipse恢复。

问题是这样的，在eclipse的servers配置项里，将tomcat的启动配置为了use tomcat location，但是每次在eclipse里publish项目都会把本地G:\tomcate7.0\apache-tomcat-7.0.29\conf下的配置文件（如：tomcat-user.xml添加了用户等信息）给重置，也就是里面添加的内容被清空了，回复到原来的样子：

问题解决方案：

你eclipse工程列表中应该 还有个 Servers　工程，下面会有Tomcat7的配置文件，你把里面的对应配置文件改了。每次是用这个文件来覆盖,tomcat下面的文件的。

特定的目录实现https访问

解决方案：

在web.xml文件中配置相应的路径

<security-constraint>
<!-- Authorization setting for SSL -->
<web-resource-collection>
<web-resource-name>SSL</web-resource-name>
<url-pattern>/login.html</url-pattern>
</web-resource-collection>
<user-data-constraint>
<transport-guarantee>CONFIDENTIAL</transport-guarantee>
</user-data-constraint>
</security-constraint>

http://jingyan.baidu.com/article/e4d08ffdb61f040fd3f60d48.html

时间： 2024-11-05 20:29:48

HTTPS_SSL配置的步骤以及原理说明的相关文章

HTTPS_SSL apache认证、配置的、步骤以及原理说明

一 .1.单向认证,就是传输的数据加密过了,但是不会校验客户端的来源 2.双向认证,如果客户端浏览器没有导入客户端证书,是访问不了web系统的,找不到地址,想要用系统的人没有证书就访问不了系统HTTPS概念 二.1.单向认证,就是传输数据加密过,但是不会教研客户来源 2.双向认证,如果客户端浏览器没有导入客户端证书,是访问不了web系统的,找不到地址,想要用系统的人没有证书是访问不了https的 2.1https概念,是以安全为目标的http通道,就是安全版的http,就是http加入ssl安全

MyBatis框架中Mapper映射配置的使用及原理解析(七) MapperProxy，MapperProxyFactory

从上文<MyBatis框架中Mapper映射配置的使用及原理解析(六) MapperRegistry> 中我们知道DefaultSqlSession的getMapper方法,最后是通过MapperRegistry对象获得Mapper实例: public <T> T getMapper(Class<T> type, SqlSession sqlSession) { final MapperProxyFactory<T> mapperProxyFactory =

Apollo 配置详细步骤（Windows环境）

一. 准备工作 1.下载 apollo 安装包 下载链接:http://activemq.apache.org/apollo/download.html 2.下载 java JDK 安装包 ( apollo 依赖 java 环境) 下载链接:http://www.oracle.com/technetwork/java/javase/downloads/index.html 3.安装 java JDK 4.解压 apollo 安装包(免安装,自己选择路径,我这里解压在D盘) 注:如果你的操作系统是

MyBatis框架中Mapper映射配置的使用及原理解析(三) 配置篇 Configuration

从上文<MyBatis框架中Mapper映射配置的使用及原理解析(二) 配置篇 SqlSessionFactoryBuilder,XMLConfigBuilder> 我们知道XMLConfigBuilder调用parse()方法解析Mybatis配置文件,生成Configuration对象. Configuration类主要是用来存储对Mybatis的配置文件及mapper文件解析后的数据,Configuration对象会贯穿整个Mybatis的执行流程,为Mybatis的执行过程提供必要的配

MyBatis框架中Mapper映射配置的使用及原理解析(二) 配置篇 SqlSessionFactoryBuilder，XMLConfigBuilder

在 <MyBatis框架中Mapper映射配置的使用及原理解析(一) 配置与使用> 的demo中看到了SessionFactory的创建过程: SqlSessionFactory sessionFactory = null; String resource = "mybatisConfig.xml"; try { sessionFactory = new SqlSessionFactoryBuilder().build(Resources .getResourceAsRea

Nginx+php-fpm环境配置详细步骤

   Nginx+php-fpm环境配置详细步骤 最全的Nginx各种版本下载地址:http://nginx.org/download/ 一.编译安装php-fpm 什么是PHP-FPM PHP-FPM是一个PHP FastCGI管理器,是只用于PHP的,可以在 http://php-fpm.org/download下载得到. PHP-FPM其实是PHP源代码的一个补丁,旨在将FastCGI进程管理整合进PHP包中.必须将它patch到你的PHP源代码中,在编译安装PHP后才可以使用. 新版PH

mysql主从配置的参数配置与步骤

主从配置的步骤: 在主库建立要同步的数据库,建立主库的帐号和修改主备库配置 create database web default character set utf8 grant replication slave on *.* to 'repdcssub'@'192.168.191.112' identified by '123456'; grant all privileges on *.* to 'repdcssub'@'192.168.191.112'  identified by '

mahout安装和配置简明步骤

①在官网下载最新的mahout版本,放在linux本机系统的/usr/local/目录下,然后解压即可 tar -zxvf mahout-distribution-0.9.tar.gz ②重命名解压后的文件夹为mahout mv mahout-distribution-0.9 mahout ③执行vi /etc/profile 配置mahout的环境,内容如下: ④执行source /etc/profile使得配置文件立即生效 ⑤下载测试数据进行测试: 下载一个文件synthetic_contr

linux配置nfs步骤及心得

这节我们介绍NFS的相关概念,以及如何配置NFS和在客户端中查看NFS. NFS的配置过程很简单.在服务器端中编辑/etc/exports文件,添加如下内容: /home/nfs-share    192.168.1.122 *(rw,sync) 第一项是要共享的目录,后者为共享的配置参数一般为:*(rw,sync,no_root_squash,no_all_squash,no_subtree_check) 然后开启NFS和portmap服务: /etc/init.d/nfs start