Tomcat 配置 SSL 证书，通过ATS验证

谁借莪１个温暖的怀抱￠ 2022-07-11 07:39 321阅读 0赞

2017 年起 app store 要求 app 对接的服务器支持 TLS v1.2，否则 ats 检测不予通过。有点强制推 TLS v1.2 的意味。本文介绍如何使 tomcat 强制执行 TLS v1.2、完全正向加密。本文示例 tomcat 版本 7.0.68，jdk 版本 1.7.0。  
笔者强烈推荐在 DNS 解析层或反向代理服务层做这件事情，不建议放在 tomcat 这一层做。如果你非要在 tomcat 这层做，可以参考本文的做法。

首先声明，tomcat 7 以后能够通过 JSSE 支持 TLSv1、TLSv1.1、TLSv1.2。也能支持 ATS 所要求的那些正向签字算法，但是 ATS 要求只能支持这些正向签字算法，一些安全级别较弱的算法不能够支持，也就是完全正向加密。总之，本文要做的事情就是禁用 TLSv1、TLSv1.1，禁用非正向加密的弱签字算法。

注意：JDK请使用Oracle JDK， 不要使用OpenJDK

证书可以在沃通网站申请

# 1. Tomcat 强制完全 TLS v1.2 #

JDK 1.7 以上的 JSSE 才能支持到 TLS v1.2。

## 1.1. ssl 证书迁移到 tomcat ##

### 1.1.1. 联系证书颁发公司，转换为 jks 后缀格式 ###

对方技术支持会返回 keystore.jks 证书文件及其密码证书密码。

### 1.1.2. 将证书文件放在 %tomcat%/conf/ 目录 ###

### 1.1.3. 证书 tomcat 配置 ###

将 %tomcat%/conf/server.xml 中的以下注释部分取消注释：

**\[html\]**  [view plain][]   [copy][view plain]

[print][view plain] [?][view plain] [![在CODE上查看代码片][CODE]][CODE_CODE] [![派生到我的代码片][ico_fork.svg]][ico_fork.svg 1]

1.  **<****Connector** port="8443" protocol="org.apache.coyote.http11.Http11Protocol"  
2.             maxThreads="150" SSLEnabled="true" scheme="https" secure="true"  
3.             clientAuth="false" sslProtocol="TLS" **/>**

然后向该 Connector 标签添加证书相关参数：  
keystoreFile="conf/keystore.jks" keystorePass="证书密码"

## 1.2. 配置 tomcat 支持 TLSv1.2 ##

### 1.2.1. jvm 支持 ###

编辑 %tomcat%/bin/catalina.sh(或 bat)，在文件内容前添加：  
set JAVA\_OPTS=-Djdk.tls.client.protocols="TLSv1.2" -Dsun.security.ssl.allowUnsafeRenegotiation=false -Dhttps.protocols="TLSv1.2"

### 1.2.2.tomcat 配置 ###

在上述 Connector 标签添加以下参数：  
sslEnabledProtocols="TLSv1.2"

## 1.3. 完全 TLS v1.2 的检测 ##

### 1.3.1. tomcat 启动时的验证 ###

我们在启动 tomcat 的时候可以看到配置的 JAVA\_OPTS 相关日志：  
一月 11, 2017 11:29:36 上午 org.apache.catalina.startup.VersionLoggerListener log  
信息: Command line argument: -Djdk.tls.client.protocols=TLSv1.2  
一月 11, 2017 11:29:36 上午 org.apache.catalina.startup.VersionLoggerListener log  
信息: Command line argument: -Dsun.security.ssl.allowUnsafeRenegotiation=false  
一月 11, 2017 11:29:36 上午 org.apache.catalina.startup.VersionLoggerListener log  
信息: Command line argument: -Dhttps.protocols=TLSv1.2

### 1.3.2. openssl 命令行工具 ###

我们先看看 TLSv1.1 协议是否已禁用：  
C:\\tools\\OpenSSL-Win32\\bin>openssl s\_client -connect localhost:8443 -tls1\_1  
CONNECTED(000000D0)  
3252:error:14094410:SSL routines:ssl3\_read\_bytes:sslv3 alert handshake failure:ssl\\record\\rec\_layer\_s3.c:1394:SSL alert number 40  
\---  
no peer certificate available  
\---  
No client certificate CA names sent  
\---  
SSL handshake has read 7 bytes and written 102 bytes  
握手失败，TLSv1.1 协议是否已禁用。再来看看 TLSv1.2：  
C:\\tools\\OpenSSL-Win32\\bin>openssl s\_client -connect localhost:8443 -tls1\_2  
CONNECTED(000000D0)  
depth=0 C = cn, ST = sh, L = sh, O = kdf, OU = kdf, CN = defonds kong  
verify error:num=18:self signed certificate  
verify return:1  
depth=0 C = cn, ST = sh, L = sh, O = kdf, OU = kdf, CN = defonds kong  
verify return:1  
\---  
Certificate chain  
 0 s:/C=cn/ST=sh/L=sh/O=kdf/OU=kdf/CN=defonds kong  
   i:/C=cn/ST=sh/L=sh/O=kdf/OU=kdf/CN=defonds kong  
\---  
Server certificate  
\-----BEGIN CERTIFICATE-----  
(略)  
\-----END CERTIFICATE-----  
subject=/C=cn/ST=sh/L=sh/O=kdf/OU=kdf/CN=defonds kong  
issuer=/C=cn/ST=sh/L=sh/O=kdf/OU=kdf/CN=defonds kong  
\---  
No client certificate CA names sent  
Peer signing digest: SHA512  
Server Temp Key: ECDH, P-256, 256 bits  
\---  
SSL handshake has read 990 bytes and written 342 bytes  
可以看到 tomcat 只支持 TLSv1.2 了。

# 2. Tomcat 强制完全正向加密 #

## 2.1. 配置 tomcat ##

在上述Connector标签添加以下参数：  
ciphers="TLS\_ECDHE\_RSA\_WITH\_AES\_128\_GCM\_SHA256,TLS\_ECDHE\_RSA\_WITH\_AES\_256\_GCM\_SHA384,  
   TLS\_DHE\_RSA\_WITH\_AES\_128\_GCM\_SHA256,TLS\_DHE\_RSA\_WITH\_AES\_256\_GCM\_SHA384,  
   TLS\_ECDHE\_RSA\_WITH\_AES\_128\_CBC\_SHA256,TLS\_ECDHE\_RSA\_WITH\_AES\_128\_CBC\_SHA,  
   TLS\_ECDHE\_RSA\_WITH\_AES\_256\_CBC\_SHA384,TLS\_ECDHE\_RSA\_WITH\_AES\_256\_CBC\_SHA,  
   TLS\_DHE\_RSA\_WITH\_AES\_128\_CBC\_SHA256,TLS\_DHE\_RSA\_WITH\_AES\_128\_CBC\_SHA,  
   TLS\_DHE\_RSA\_WITH\_AES\_256\_CBC\_SHA256,TLS\_DHE\_RSA\_WITH\_AES\_256\_CBC\_SHA,  
   TLS\_RSA\_WITH\_AES\_128\_GCM\_SHA256,TLS\_RSA\_WITH\_AES\_256\_GCM\_SHA384,  
   TLS\_RSA\_WITH\_AES\_128\_CBC\_SHA256,TLS\_RSA\_WITH\_AES\_256\_CBC\_SHA256,  
   TLS\_RSA\_WITH\_AES\_128\_CBC\_SHA,TLS\_RSA\_WITH\_AES\_256\_CBC\_SHA,  
   SSL\_RSA\_WITH\_3DES\_EDE\_CBC\_SHA"  
最后重启tomcat即可。

## 2.2. 完全正向加密的检测 ##

很多证书服务商提供了在线 ATS 检测接口，比如：

*  [腾讯云][Link 1]
 *  [亚数][Link 2]

如腾讯云的检测结果：

![腾讯云的检测结果.png][.png]

# 3. 相关工具下载 #

本文所涉及 openssl 工具安装包，以及 server.xml、catalina.bat、keystore.jks 都已打包上传 CSDN 资源，有兴趣的朋友可以自行去下载以参考：  
[SSL/TLS 检测工具以及 tomcat 正向加密配置例子][SSL_TLS _ tomcat] 。

# 参考资料 #

*  [Does Tomcat support TLS v1.2?][Does Tomcat support TLS v1.2]
 *  [CommVault: Secure your insecure Web Console (Tomcat) and enable SSL / Perfect Forward Secrecy][CommVault_ Secure your insecure Web Console _Tomcat_ and enable SSL _ Perfect Forward Secrecy]

[view plain]: http://blog.csdn.net/defonds/article/details/54346343#
[CODE]: https://code.csdn.net/assets/CODE_ico.png
[CODE_CODE]: https://code.csdn.net/snippets/2119130
[ico_fork.svg]: https://code.csdn.net/assets/ico_fork.svg
[ico_fork.svg 1]: https://code.csdn.net/snippets/2119130/fork
[Link 1]: https://www.qcloud.com/product/ssl
[Link 2]: https://www.trustasia.com/tools-ats-ios9-checker
[.png]: /images/20220711/f6cbf530bf8e41889a85bd223201deaa.png
[SSL_TLS _ tomcat]: http://download.csdn.net/detail/defonds/9735398
[Does Tomcat support TLS v1.2]: http://stackoverflow.com/questions/9749339/does-tomcat-support-tls-v1-2
[CommVault_ Secure your insecure Web Console _Tomcat_ and enable SSL _ Perfect Forward Secrecy]: https://www.hass.de/content/commvault-secure-your-insecure-web-console-tomcat-and-enable-ssl-perfect-forward-secrecy