CA认证开发简介

CA认证开发简介

1CA认证简介

电子商务认证授权机构（CA, Certificate Authority），也称为电子商务认证中心，是负责发放和管理数字证书的权威机构，并作为电子商务交易中受信任的第三方，承担公钥体系中公钥的合法性检验的责任。

CA中心为每个使用公开密钥的用户发放一个数字证书，数字证书的作用是证明证书中列出的用户合法拥有证书中列出的公开密钥。CA机构的数字签名使得攻击者不能伪造和篡改证书。在SET交易中，CA不仅对持卡人、商户发放证书，还要对获款的银行、网关发放证书。

CA是证书的签发机构,它是PKI(Public Key Infrastructure，公钥基础设施)的核心。CA 是负责签发证书、认证证书、管理已颁发证书的机关。它要制定政策和具体步骤来验证、识别用户身份，并对用户证书进行签名，以确保证书持有者的身份和公钥的拥有权。

CA 也拥有一个证书（内含公钥）和私钥。网上的公众用户通过验证CA 的签字从而信任CA ，任何人都可以得到CA 的证书（含公钥），用以验证它所签发的证书。

如果用户想得到一份属于自己的证书，他应先向CA 提出申请。在CA 判明申请者的身份后，便为他分配一个公钥，并且CA 将该公钥与申请者的身份信息绑在一起，并为之签字后，便形成证书发给申请者。

如果一个用户想鉴别另一个证书的真伪，他就用CA 的公钥对那个证书上的签字进行验证，一旦验证通过，该证书就被认为是有效的。

为保证用户之间在网上传递信息的安全性、真实性、可靠性、完整性和不可抵赖性，不仅需要对用户的身份真实性进行验证，也需要有一个具有权威性、公正性、唯一性的机构，负责向电子商务的各个主体颁发并管理符合国内、国际安全电子交易协议标准的电子商务安全证，并负责管理所有参与网上交易的个体所需的数字证书，因此是安全电子交易的核心环节。

1.1CA认证证书

证书实际是由证书签证机关（CA）签发的对用户的公钥的认证。

证书的内容包括：电子签证机关的信息、公钥用户信息、公钥、权威机构的签字和有效期等等。目前，证书的格式和验证方法普遍遵循X.509 国际标准。

如何在电子文档上实现签名的目的呢？我们可以使用数字签名。RSA公钥体制可实现对数字信息的数字签名，方法如下：

信息发送者用其私匙对从所传报文中提取出的特征数据（或称数字指纹）进行RSA算法操作，以保证发信人无法抵赖曾发过该信息（即不可抵赖性），同时也确保信息报文在传递过程中未被篡改（即完整性）。当信息接收者收到报文后，就可以用发送者的公钥对数字签名进行验证。

在数字签名中有重要作用的数字指纹是通过一类特殊的散列函数(HASH函数) 生成的。对这些HASH函数的特殊要求是：

1．接受的输入报文数据没有长度限制；

2．对任何输入报文数据生成固定长度的摘要(数字指纹)输出；

3．从报文能方便地算出摘要；

4．难以对指定的摘要生成一个报文，而由该报文可以算出该指定的摘要；

5．难以生成两个不同的报文具有相同的摘要。

1.2CA认证验证

收方在收到信息后用如下的步骤验证您的签名：

1．使用自己的私钥将信息转为明文；

2．使用发信方的公钥从数字签名部分得到原摘要；

3．收方对您所发送的源信息进行hash运算，也产生一个摘要；

4．收方比较两个摘要，如果两者相同，则可以证明信息签名者的身份。

如果两摘要内容不符，会说明什么原因呢？

可能对摘要进行签名所用的私钥不是签名者的私钥，这就表明信息的签名者不可信；也可能收到的信息根本就不是签名者发送的信息，信息在传输过程中已经遭到破坏或篡改。

1.3CA认证数字证书

数字证书为实现双方安全通信提供了电子认证。在因特网、公司内部网或外部网中，使用数字证书实现身份识别和电子信息加密。数字证书中含有密钥对（公钥和私钥）所有者的识别信息，通过验证识别信息的真伪实现对证书持有者身份的认证。

1.4CA认证使用数字证书能做什么?

数字证书在用户公钥后附加了用户信息及CA的签名。公钥是密钥对的一部分，另一部分是私钥。公钥公之于众，谁都可以使用。私钥只有自己知道。由公钥加密的信息只能由与之相对应的私钥解密。为确保只有某个人才能阅读自己的信件，发送者要用收件人的公钥加密信件；收件人便可用自己的私钥解密信件。同样，为证实发件人的身份，发送者要用自己的私钥对信件进行签名；收件人可使用发送者的公钥对签名进行验证，以确认发送者的身份。

明文经R公钥加密的密文经S私钥签名的密文

要发送的明文数据可发送的密文数据

用R的公钥加密用S私钥签名

图1.1 发送数据处理过程

密文经R私钥解密的明文验证通过的明文

接收到的密文数据可以使用的数据

用R的私钥解密用S公钥验证合法

性

图1.2接收数据处理过程

在线交易中您可使用数字证书验证对方身份。用数字证书加密信息，可以确保只有接收者才能解密、阅读原文，信息在传递过程中的保密性和完整性。有了数字证书网上安全才得以实现，电子邮件、在线交易和信用卡购物的安全才能得到保证。

1.5CA认证-认证、数字证书和PKI解决的几个问题

保密性- 只有收件人才能阅读信息。

认证性- 确认信息发送者的身份。

完整性- 信息在传递过程中不会被篡改。

不可抵赖性- 发送者不能否认已发送的信息。

1.6标准的X．509数字证书包含的内容

a)证书的版本信息；

b)证书的序列号，每个用户都有一个唯一的证书序列号；

c)证书所使用的签名算法；

d)证书的发行机构名称，命名规则一般采用X.400格式；

e)证书的有效期，现在通用的证书一般采用UTC时间格式，它的计时范围

为1950~2049；

f)证书所有人的名称，命名规则一般采用X．400格式；

g)证书所有人的公钥；

h)证书发行者对证书的签名。

此外，X.509证书格式还预留了扩展，用户可以根据自己的需要进行扩展。

目前比较典型的扩展如：Microsoft IE的扩展、Netscape的扩展和SET(Secure

Electronic Transaction)的扩展等。

1.7密钥、密钥对、公钥、证书、私钥、jks、keystore、truststore、cer、pfx的区别

密钥: 公钥+私钥的统称。

密钥对：公钥(证书)和私钥成对存在。

通信双方各持有自己的私钥和对方的公钥。自己的私钥需密切保护，而公钥是公开给对方的。在windows下，单独存在的公钥一般是后缀为.cer的文件

公钥的两个用途：

1。验证对方身份：防止其他人假冒对方发送数据给你。

2。解密。

私钥的两个用途：

1。表明自己身份：除非第三方有你私钥，否则无法假冒你发送数据数据给对方。

2。加密。

jks(java key store)：

java用的存储密钥的容器。可以同时容纳n个公钥或私钥，后缀一般是.jks或者.keystore 或.truststore等，千奇百怪。不管什么后缀，它就是一个容器，各个公司或机构叫法不同而已。比如把只包含"受信任的公钥"的容器存成.truststore文件等。

用jdk\bin目录下的keytool.exe对其进行查看，导入，导出，删除，修改密码等各种操作。可以对jks容器加密码，输入正确才可以操作此容器中密钥。

还有一个密码的概念与上者不同，是jks中存储着的私钥的密码，通常是绝密的。

pfx：

和jks功能相同但文件格式不同，pfx是浏览器用的。

可以用一些工具程序把pfx转化成jks格式供java程序使用(如银行只提供了pfx)。

常见的几种https系统的访问

经https协议的数据经过加密传输，防止第三方监听，冒充和篡改。

1.不需要用户做任何操作，比如https://https://www.360docs.net/doc/bd19048699.html,/

这是因为此公钥是合法的(公钥是可信任的机构颁发，和实际域名吻合，而且没有到期)。用IE访问时空白处点右键可以查看公钥信息。

2.https的页面会弹出公钥确认提示

公钥不合法(不是可信任的机构颁发，和实际域名不吻合，已到期)，但用户点“是”即表示忽略危险，继续访问。

3.需要往浏览器倒入一个文件才可访问的

一般是银行在线交易等特别需要安全的场合，站方(银行)需要验证访客身份(如要确认必须是已注册的网银商户)，需要在浏览器中导入含有访客私钥的pfx文件。

如果java程序访问此地址时在jre默认的信任库中找不到对方证书的颁发机构，则会抛出安全方面的异常。所以要将站方公钥存进一个jks，并在环境变量中设定，表明信任此库中的公钥，才可以正常访问。在浏览器中查看站方公钥时，把公钥导出(一般是cer后缀)，然后用keytool.exe手工将此cer导入一个jks

2https的实现原理

2.1有两种基本的加解密算法类型

1）对称加密：密钥只有一个，加密解密为同一个密码，且加解密速度快，典型的对称加密算法有DES、AES等；

2）非对称加密：密钥成对出现（且根据公钥无法推知私钥，根据私钥也无法推知公钥），加密解密使用不同密钥（公钥加密需要私钥解密，私钥加密需要公钥解密），相对对称加密速度较慢，典型的非对称加密算法有RSA、DSA等。

2.2 https的通信过程

https的通信过程

客户端服务器

1.请求https连接

{返回证书(公钥)}

2. 产生随机(对称)密钥

3.用公钥对对称密钥加密

4. 发送加密后的对称密钥

.

6.通过对称密钥加密的密文通信

..

图2.1https的通信过程

2.3 https通信的优点

1）客户端产生的密钥只有客户端和服务器端能得到；

2）加密的数据只有客户端和服务器端才能得到明文；

3）客户端到服务端的通信是安全的。

2.4 SSL认证详解

SSL（Secure Socket Layer）是一种能让web浏览器和服务器在建立一个安全连接的基础上进行通信的技术。这意味着一端将数据加密后发送、传输，在另一端处理前解密。这是一个双向过程，服务端和客户端对所有要发出的数据都进行加密。另一个重要的方面是鉴权。这意味着你的最初和web服务器的通信是建立在安全连接基础上的。服务器将给你的web浏览器一套证书形式的信任状，来证明这个站点是它所声称的那一个站点。在某种情况下服务器也会向你的浏览器请求一个证书，要求证明你是你所声称的那个人。这就是"客户身份认证"，尽管在实际应用中是business-to-business交易而不是个人用户。大部分使用了SSL的web服务器不要求客户认证。

2.4.1单向认证SSL 协议的具体过程

①客户端的浏览器向服务器传送客户端SSL 协议的版本号，加密算法的种类，产生的随机数，以及其他服务器和客户端之间通讯所需要的各种信息。

②服务器向客户端传送SSL 协议的版本号，加密算法的种类，随机数以及其他相关信息，同时服务器还将向客户端传送自己的证书。

③客户利用服务器传过来的信息验证服务器的合法性，服务器的合法性包括：证书是否过期，发行服务器证书的CA 是否可靠，发行者证书的公钥能否正确解开服务器证书的“发行者的数字签名”，服务器证书上的域名是否和服务器的实际域名相匹配。如果合法性验证没有通过，通讯将断开；如果合法性验证通过，将继续进行第四步。

④用户端随机产生一个用于后面通讯的“对称密码”，然后用服务器的公钥（服务器的公钥从步骤②中的服务器的证书中获得）对其加密，然后将加密后的“预主密码”传给服务器。

⑤如果服务器要求客户的身份认证（在握手过程中为可选），用户可以建立一个随机数然后对其进行数据签名，将这个含有签名的随机数和客户自己的证书以及加密过的“预主密码”一起传给服务器。

⑥如果服务器要求客户的身份认证，服务器必须检验客户证书和签名随机数的合法性，具体的合法性验证过程包括：客户的证书使用日期是否有效，为客户提供证书的CA 是否可靠，发行CA 的公钥能否正确解开客户证书的发行CA 的数字签名，检查客户的证书是否在证书废止列表（CRL）中。检验如果没有通过，通讯立刻中断；如果验证通过，服务器将用自己的私钥解开加密的“预主密码”，然后执行一系列步骤来产生主通讯密码（客户端也将通过同样的方法产生相同的主通讯密码）。

⑦服务器和客户端用相同的主密码即“通话密码”，一个对称密钥用于SSL 协议的安全数据通讯的加解密通讯。同时在SSL 通讯过程中还要完成数据通讯的完整性，防止数据通讯中的任何变化。

⑧客户端向服务器端发出信息，指明后面的数据通讯将使用的步骤⑦中的主密码为对称密钥，同时通知服务器客户端的握手过程结束。

⑨服务器向客户端发出信息，指明后面的数据通讯将使用的步骤⑦中的主密码为对称密钥，同时通知客户端服务器端的握手过程结束。

⑩SSL 的握手部分结束，SSL 安全通道的数据通讯开始，客户和服务器开始使用相同的对称密钥进行数据通讯，同时进行通讯完整性的检验。

2.4.2双向认证SSL 协议的具体过程

①浏览器发送一个连接请求给安全服务器。

②服务器将自己的证书，以及同证书相关的信息发送给客户浏览器。

③客户浏览器检查服务器送过来的证书是否是由自己信赖的CA 中心所签发的。如果是，就继续执行协议；如果不是，客户浏览器就给客户一个警告消息：警告客户这个证书不是可以信赖的，询问客户是否需要继续。

④接着客户浏览器比较证书里的消息，例如域名和公钥，与服务器刚刚发送的相关消息是否一致，如果是一致的，客户浏览器认可这个服务器的合法身份。

⑤服务器要求客户发送客户自己的证书。收到后，服务器验证客户的证书，如果没有通过验证，拒绝连接；如果通过验证，服务器获得用户的公钥。

⑥客户浏览器告诉服务器自己所能够支持的通讯对称密码方案。

⑦服务器从客户发送过来的密码方案中，选择一种加密程度最高的密码方案，用客户的公钥加过密后通知浏览器。

⑧浏览器针对这个密码方案，选择一个通话密钥，接着用服务器的公钥加过密后发送给服务器。

⑨服务器接收到浏览器送过来的消息，用自己的私钥解密，获得通话密钥。

⑩服务器、浏览器接下来的通讯都是用对称密码方案，对称密钥是加过密的。

上面所述的是双向认证SSL 协议的具体通讯过程，这种情况要求服务器和用户双方都有证书。单向认证SSL 协议不需要客户拥有CA 证书，具体的过程相对于上面的步骤，只需将服务器端验证客户证书的过程去掉，以及在协商对称密码方案，对称通话密钥时，服务器发送给客户的是没有加过密的（这并不影响SSL 过程的安全性）密码方案。这样，双方具体

的通讯内容，就是加过密的数据，如果有第三方攻击，获得的只是加密的数据，第三方要获得有用的信息，就需要对加密的数据进行解密，这时候的安全就依赖于密码方案的安全。而幸运的是，目前所用的密码方案，只要通讯密钥长度足够的长，就足够的安全。这也是我们强调要求使用128 位加密通讯的原因。

3java中Keytool的使用

Keytool 是一个Java 数据证书的管理工具,Keytool 将密钥（key）和证书（certificates）存在一个称为keystore的文件中在keystore里，包含两种数据：

密钥实体（Key entity）——密钥（secret key）又或者是私钥和配对公钥（采用非对称加密）可信任的证书实体（trusted certificate entries）——只包含公钥

ailas(别名)每个keystore都关联这一个独一无二的alias，这个alias通常不区分大小写

JDK中keytool 常用命令:

-genkey 在用户主目录中创建一个默认文件".keystore",还会产生一个mykey的别名，mykey 中包含用户的公钥、私钥和证书

-alias 产生别名

-keystore 指定密钥库的名称(产生的各类信息将不在.keystore文件中)

-keyalg 指定密钥的算法(如RSA DSA（如果不指定默认采用DSA）)

-validity 指定创建的证书有效期多少天

-keysize 指定密钥长度

-storepass 指定密钥库的密码(获取keystore信息所需的密码)

-keypass 指定别名条目的密码(私钥的密码)

-dname 指定证书拥有者信息例如："CN=名字与姓氏,OU=组织单位名称,O=组织名称,L=城市或区域名称,ST=州或省份名称,C=单位的两字母国家代码"，注：其中CN最好是服务器的域名地址或IP地址（因为浏览器在发现服务器证书的CN与访问服务器的域名或IP不符时，会报一个警告，不过这个问题不大）。

-list 显示密钥库中的证书信息keytool -list -v -keystore 指定keystore -storepass 密码

-v 显示密钥库中的证书详细信息

-export 将别名指定的证书导出到文件keytool -export -alias 需要导出的别名-keystore 指定keystore -file 指定导出的证书位置及证书名称-storepass 密码

-file 参数指定导出到文件的文件名

-delete 删除密钥库中某条目keytool -delete -alias 指定需删除的别-keystore 指定keystore -storepass 密码

-printcert 查看导出的证书信息keytool -printcert -file yushan.crt

-keypasswd 修改密钥库中指定条目口令keytool -keypasswd -alias 需修改的别名-keypass 旧密码-new 新密码-storepass keystore密码-keystore sage

-storepasswd 修改keystore口令keytool -storepasswd -keystore e:\yushan.keystore(需修改口令的keystore) -storepass 123456(原始密码) -new yushan(新密码)

-import 将已签名数字证书导入密钥库keytool -import -alias 指定导入条目的别名-keystore 指定keystore -file 需导入的证书

下面是各选项的缺省值。

-alias "mykey"

-keyalg "DSA"

-keysize 1024

-validity 90

-keystore 用户宿主目录中名为.keystore 的文件

-file 读时为标准输入，写时为标准输出

3.1k eystore的生成

分阶段生成：

keytool -genkey -alias yushan(别名) -keypass yushan(别名密码) -keyalg RSA(算法) -keysize 1024(密钥长度) -validity 365(有效期，天单位) -keystore

e:\yushan.keystore(指定生成证书的位置和证书名称) -storepass 123456(获取keystore信息的密码)；回车输入相关信息即可；

一次性生成：

keytool -genkey -alias yushan -keypass yushan -keyalg RSA -keysize 1024 -validity 365 -keystore e:\yushan.keystore -storepass 123456 -dname "CN=(名字与姓氏), OU=(组织单位名称), O=(组织名称), L=(城市或区域名称), ST=(州或省份名称), C=(单位的两字母国家代码)";(中英文即可)

3.2keystore信息的查看

keytool -list -v -keystore e:\keytool \yushan.keystore -storepass 123456

显示内容：

---------------------------------------------------------------------

Keystore 类型：JKS

Keystore 提供者：SUN

您的keystore 包含 1 输入

别名名称：yushan

创建日期：2009-7-29

项类型: PrivateKeyEntry

认证链长度：1

认证[1]:

所有者:CN=yushan, OU=xx公司, O=xx协会, L=湘潭, ST=湖南, C=中国

签发人:CN=yushan, OU=xx公司, O=xx协会, L=湘潭, ST=湖南, C=中国

序列号:4a6f29ed

有效期: Wed Jul 29 00:40:13 CST 2009 至Thu Jul 29 00:40:13 CST 2010

证书指纹:

MD5:A3:D7:D9:74:C3:50:7D:10:C9:C2:47:B0:33:90:45:C3

SHA1:2B:FC:9E:3A:DF:C6:C4:FB:87:B8:A0:C6:99:43:E9:4C:4A:E1:18:E8

签名算法名称:SHA1withRSA

版本: 3

--------------------------------------------------------------------

缺省情况下，-list 命令打印证书的MD5 指纹。而如果指定了-v 选项，将以可读格式打印证书，如果指定了-rfc 选项，将以可打印的编码格式输出证书。

keytool -list -rfc -keystore e:\yushan.keystore -storepass 123456

显示：

-------------------------------------------------------------------------------------------------------

Keystore 类型：JKS

Keystore 提供者：SUN

您的keystore 包含 1 输入

别名名称：yushan

创建日期：2009-7-29

项类型: PrivateKeyEntry

认证链长度：1

认证[1]:

-----BEGIN CERTIFICATE-----

MIICSzCCAbSgAwIBAgIESm8p7TANBgkqhkiG9w0BAQUFADBqMQ8wDQYDVQQGDAbku K3lm70xDzANBgNVBAgMBua5luWNlzEPMA0GA1UEBwwG5rmY5r2tMREwDwYDVQQK DAh4eOWNj+S8mjERMA8GA1UECwwIeHjlhazlj7gxDzANBgNVBAMTBnl1c2hhbjAeFw0w OTA3MjgxNjQwMTNaFw0xMDA3MjgxNjQwMTNaMGoxDzANBgNVBAYMBuS4reWbvTE PMA0GA1UECAwG5rmW5Y2XMQ8wDQYDVQQHDAbmuZjmva0xETAPBgNVBAoMCHh4 5Y2P5LyaMREwDwYDVQQLDAh4eOWFrOWPuDEPMA0GA1UEAxMGeXVzaGFuMIGf MA0GCSqGSIb3DQEBAQUAA4GNADCBiQKBgQCJoru1RQczRzTnBWxefVNspQBykS220r S8Y/oX3mZahjL4wLfOURzUuxxuVQR2jx7QI+XKME+DHQj9r6aAcLBCi/T1jwF8mVYxtpRu TzE/6KEZdhowEe70liWLVE+hytLBHZ03Zhwcd6q5HUMu27du3MPQvqiwzTY7MrwIvQQ8iQ IDAQABMA0GCSqGSIb3DQEBBQUAA4GBAGoQQ1/FnTfkpQh+Ni6h3fZdn3sR8ZzDMbOA IYVLAhBb85XDJ8QZTarHbZMJcIdHxAl1i08ct3E8U87V9t8GZFWVC4BFg/+zeFEv76SFpVE5 6iX7P1jpsu78z0m69hHlds77VJTdyfMSvtXvsYHP3fxfzx9WyhipBwd8VPK/NgEP

-----END CERTIFICATE-----

-------------------------------------------------------------------------------------------------------

3.3证书的导出

keytool -export -alias yushan -keystore e:\yushan.keystore -file e:\yushan.crt(指定导出的证书位置及证书名称) -storepass 123456

3.4查看导出的证书信息

keytool -printcert -file yushan.crt

显示：（在windows下可以双击yushan.crt查看）

-----------------------------------------------------------------------

所有者:CN=yushan, OU=xx公司, O=xx协会, L=湘潭, ST=湖南, C=中国

签发人:CN=yushan, OU=xx公司, O=xx协会, L=湘潭, ST=湖南, C=中国

序列号:4a6f29ed

有效期: Wed Jul 29 00:40:13 CST 2009 至Thu Jul 29 00:40:13 CST 2010

证书指纹:

MD5:A3:D7:D9:74:C3:50:7D:10:C9:C2:47:B0:33:90:45:C3

SHA1:2B:FC:9E:3A:DF:C6:C4:FB:87:B8:A0:C6:99:43:E9:4C:4A:E1:18:E8

签名算法名称:SHA1withRSA

版本: 3

-----------------------------------------------------------------------

3.5证书的导入

准备一个导入的证书：

keytool -genkey -alias shuany -keypass shuany -keyalg RSA -keysize 1024 -validity 365 -keystore e:\shuany.keystore -storepass 123456 -dname "CN=shuany, OU=xx, O=xx, L=xx, ST=xx, C=xx";

keytool -export -alias shuany -keystore e:\shuany.keystore -file e:\shuany.crt -storepass 123456

现在将shuany.crt 加入到yushan.keystore中：

keytool -import -alias shuany(指定导入证书的别名，如果不指定默认为mykey,别名唯一，否则导入出错) -file e:\shuany.crt -keystore e:\yushan.keystore -storepass 123456

keytool -list -v -keystore e:\keytool \yushan.keystore -storepass 123456

显示：

------------------------------------------------------------------------------

Keystore 类型：JKS

Keystore 提供者：SUN

您的keystore 包含 2 输入

别名名称：yushan

创建日期：2009-7-29

项类型: PrivateKeyEntry

认证链长度：1

认证[1]:

所有者:CN=yushan, OU=xx公司, O=xx协会, L=湘潭, ST=湖南, C=中国

签发人:CN=yushan, OU=xx公司, O=xx协会, L=湘潭, ST=湖南, C=中国

序列号:4a6f29ed

有效期: Wed Jul 29 00:40:13 CST 2009 至Thu Jul 29 00:40:13 CST 2010

证书指纹:

MD5:A3:D7:D9:74:C3:50:7D:10:C9:C2:47:B0:33:90:45:C3

SHA1:2B:FC:9E:3A:DF:C6:C4:FB:87:B8:A0:C6:99:43:E9:4C:4A:E1:18:E8

签名算法名称:SHA1withRSA

版本: 3

*******************************************

*******************************************

别名名称：shuany

创建日期：2009-7-29

输入类型：trustedCertEntry

所有者:CN=shuany, OU=xx, O=xx, L=xx, ST=xx, C=xx

签发人:CN=shuany, OU=xx, O=xx, L=xx, ST=xx, C=xx

序列号:4a6f2cd9

有效期: Wed Jul 29 00:52:41 CST 2009 至Thu Jul 29 00:52:41 CST 2010

证书指纹:

MD5:15:03:57:9B:14:BD:C5:50:21:15:47:1E:29:87:A4:E6

SHA1:C1:4F:8B:CD:5E:C2:94:77:B7:42:29:35:5C:BB:BB:2E:9E:F0:89:F5

签名算法名称:SHA1withRSA

版本: 3

*******************************************

*******************************************

------------------------------------------------------------------------------

3.6证书条目的删除

keytool -delete -alias shuany(指定需删除的别名) -keystore yushan.keystore -storepass 123456

3.7证书条目口令的修改

keytool -keypasswd -alias yushan(需要修改密码的别名) -keypass yushan(原始密码) -new 123456(别名的新密码) -keystore e:\yushan.keystore -storepass 123456

3.8keystore口令的修改

keytool -storepasswd -keystore e:\yushan.keystore(需修改口令的keystore) -storepass 123456(原始密码) -new yushan(新密码)

3.9修改keystore中别名为yushan的信息

keytool -selfcert -alias yushan -keypass yushan -keystore e:\yushan.keystore -storepass 123456 -dname "cn=yushan,ou=yushan,o=yushan,c=us"

4在Tomcat配置SSL连接

在$TOMCAT_HOME/conf/server.xml中配置你的secure socket。在安装好的Tomcat里缺省server.xml中已经包含了一个SSL connector的元素样本。看起来如下：

<-- Define a SSL Coyote HTTP/1.1 Connector on port 8443 -->

port="8443" minProcessors="5" maxProcessors="75"

enableLookups="true" disableUploadTimeout="true"

acceptCount="100" debug="0" scheme="https" secure="true";

clientAuth="false" sslProtocol="TLS"/>

-->

你会注意到Connector元素缺省被注释了，因此你需要删除它周围的注释标签。接着你可以自定义一些属性。要更多各种选项的信息，请参考Server Configuration Reference。下面的讨论只覆盖建立SSL通信时最感兴趣的那些属性。

port属性（缺省为8443）是Tomcat监听安全连接的TCP/IP端口号。你可以将它改成任何你需要的端口号（如https通信的缺省端口443）。然而在许多操作系统上，Tomcat要使用一个1024以下的端口需要做一些特别的设置（这不在本文档范围内）。

如果改变了此处的端口号，应该同时改变在non-SSL connector上redirectPort属性的值。作为Servlet 2.4 Specification中所必需的，这允许Tomcat自动重定向用户访问有安全限制的页面的请求，指出需要SSL。

还有一些其它的选项配置SSL协议。你可能需要增加或改变下面的属性值，取决于你开始对keystore的配置：

clientAuth 如果想要Tomcat为了使用这个socket而要求所有SSL客户出示一个客户证书，置该值为true。

keystoreFile 如果创建的keystore文件不在Tomcat认为的缺省位置（一个在Tomcat运行的home目录下的叫.keystore的文件），则加上该属性。可以指定一个绝对路径或依赖$CA TALINA_BASE环境变量的相对路径。

keystorePass 如果使用了一个与Tomcat预期不同的keystore（和证书）密码（changeit），则加入该属性。

keystoreType 如果使用了一个PKCS12 keystore，加入该属性。有效值是JKS和PKCS12。

sslProtocol socket使用的加密/解密协议。如果使用的是Sun的JVM，则不建议改变这个值。据说IBM的1.4.1版的TLS协议的实现和一些流行的浏览器不兼容。这种情况下，使用SSL。

ciphers 此socket允许使用的被逗号分隔的密码列表。缺省情况下，可以使用任何可用的密码。

algorithm 使用的X509算法。缺省为Sun的实现（SunX509）。对于IBM JVMS应该使用ibmX509。对于其它JVM，参考JVM文档取正确的值。

truststoreFile 用来验证客户证书的TrustStore文件。truststorePass 访问TrustStore使用的密码。缺省值是keystorePass。

truststoreType 如果使用一个不同于正在使用的KeyStore的TrustStore格式，加入该属性。有效值是JKS和PKCS12。

如果创建的keystore文件不在Tomcat认为的缺省位置（一个在Tomcat运行的home目录下的叫.keystore的文件），则加上该属性。可以指定一个绝对路径或依赖$CA TALINA_BASE 环境变量的相对路径。

keystorePass 如果使用了一个与Tomcat预期不同的keystore（和证书）密码（changeit），则加入该属性。

keystoreType 如果使用了一个PKCS12 keystore，加入该属性。有效值是JKS和PKCS12。sslProtocol socket使用的加密/解密协议。如果使用的是Sun的JVM，则不建议改变这个值。据说IBM的1.4.1版的TLS协议的实现和一些流行的浏览器不兼容。这种情况下，使用SSL。

Ciphers 此socket允许使用的被逗号分隔的密码列表。缺省情况下，可以使用任何可用的密码。

Algorithm 使用的X509算法。缺省为Sun的实现（SunX509）。对于IBM JVMS应该使用ibmX509。对于其它JVM，参考JVM文档取正确的值。

truststoreFile 用来验证客户证书的TrustStore文件。

truststorePass 访问TrustStore使用的密码。缺省值是keystorePass。

truststoreType 如果使用一个不同于正在使用的KeyStore的TrustStore格式，加入该属性。有效值是JKS和PKCS12。

完成这些配置后，要重启Tomcat。你将能通过访问任何Tomcat支持的web应用。如：https://localhost:8443

5签发证书的过程

(1)从中间层CA服务器的密钥库中读取CA的证书：

FileInputStream in=new FileInputStream(ShopCAstorename);

KeyStore ks=KeyStore.getInstance("JKS");

ks.load(in,storepass);

java.security.cert.Certificate c1=ks.getCertificate(alias);

(2)获得CA的私钥：

PrivateKey caprk=(PrivateKey)ks.getKey(alias,cakeypass);

(3)从CA的证书中提取签发者信息：

byte[] encod1=c1.getEncoded();

X509CertImpl shopcimp1=new X509CertImpl(encod1);

X509CertInfo shopcinfo1=(X509CertInfo)shopcimp1.get(https://www.360docs.net/doc/bd19048699.html,+

"."+https://www.360docs.net/doc/bd19048699.html,);

X500Name issuer=(X500Name)shopcinfo1.get(X509CertInfo.SUBJECT+

"."+CertificateIssuerName.DN_NAME);

(4)获取待签发的证书相关信息，与（3）类似；

(5)设置新证书的有效期、序列号、签发者和签名算法：

//设置新证书有效期为1年

Date begindate =new Date();

Date enddate =new Date(begindate.getTime()+3000*24*360*60*1000L); CertificateValidity

cv=new CertificateValidity(begindate,enddate);

cinfo2.set(X509CertInfo.V ALIDITY,cv);

//设置新证书序列号

int sn=(int)(begindate.getTime()/1000);

CertificateSerialNumber csn=new CertificateSerialNumber(sn);

cinfo2.set(X509CertInfo.SERIAL_NUMBER,csn);

//设置新证书签发者

cinfo2.set(X509CertInfo.ISSUER+"."+

CertificateIssuerName.DN_NAME,issuer);

//设置新证书算法

AlgorithmId algorithm =

new AlgorithmId(AlgorithmId.md5WithRSAEncryption_oid);

cinfo2.set(https://www.360docs.net/doc/bd19048699.html,+

"."+CertificateAlgorithmId.ALGORITHM, algorithm);

(6)创建证书并签发：

// 创建证书

X509CertImpl newcert=new X509CertImpl(cinfo2);

// 签名

newcert.sign(caprk,"MD5WithRSA");

(7)将新证书提供给注册用户，并提示安装,一般的做法是在用户注册成功后系统立即返回一个证书对象给中间层某个Servlet，由其返回给用户。