como instalar o ssl no tomcat 7?

Question

Eu sei que esta pergunta pode parecer muito fácil e eu deveria ter lido todos os documentos disponíveis na internet, a verdade é que eu fiz, e eu não tive sorte, é meio confuso para mim, eu instalei muitas vezes essa coisa, mas para Apache, nunca para o Tomcat.

Eu quero instalar um certificado do GoDaddy, então, eu segui essas instruções

link

Eu criei meu arquivo-chave como este

keytool -keysize 2048 -genkey -alias tomcat -keyalg RSA -keystore tomcat.keystore
keytool -certreq -keyalg RSA -alias tomcat -file csr.csr -keystore tomcat.keystore

Eu alterei o tomcat para mydomain.com .. está errado?

Eu criei o keystore, depois o csr, depois disso o problema vem, eu adiciono ao server.xml na pasta de configuração

<Connector port="8443" maxThreads="200"
scheme="https" secure="true" SSLEnabled="true"
keystoreFile="path to your keystore file" keystorePass="changeit" clientAuth="false" sslProtocol="TLS"/>

Mais tarde, importei os certs

keytool -import -alias root -keystore tomcat.keystore -trustcacerts -file valicert_class2_root.crt

e eu fiz, mas eu não tenho um gd_intermediate.crt e o último passo é

keytool -import -alias tomcat -keystore tomcat.keystore -trustcacerts -file <name of your certificate>

lendo em outros blogs eu vi eles importarem aqui o crt, mas o tomcat é o usuário que eu tenho que sair? ou é apenas por exemplo ??

Nos docs do tomcat eu encontrei este ( link )

Download a Chain Certificate from the Certificate Authority you obtained the Certificate keytool -import -alias root -keystore \ -trustcacerts -file

   And finally import your new Certificate
       keytool -import -alias tomcat -keystore <your_keystore_filename> \
-file <your_certificate_filename>

mas não tenho ideia do que é um "certificado de cadeia" ... alguém pode me ajudar? Estou muito confuso e perdido. Eu estou usando o Tomcat7

Obrigado.

    

Answer 1

Eu passo horas tentando descobrir isso e aqui estão os frutos do meu trabalho

Problema

Você não consegue criar um Keystore Tomcat válido usando um arquivo CrD e chave do GoDaddy

A saída em curva pode ter esta aparência:

curl: (60) SSL certificate problem, verify that the CA cert is OK. Details:
error:14090086:SSL routines:SSL3_GET_SERVER_CERTIFICATE:certificate verify failed

Obtendo o script

curl -O https://raw.github.com/ssstonebraker/braker-scripts/master/working-scripts/crt_to_keystore.sh
chmod +x crt_to_keystore.sh

Usando o script

./crt_to_keystore.sh <path_to_crt> <path_to_key>

Conteúdo RAW do Script

#!/bin/bash
# Filename: crt_to_keystore.sh
# Description: create tomcat keystore from cert and key
# Usage: "Usage: ./crt_to_keystore.sh <path_to_crt> <path_to_key>"
# Author: Steve Stonebraker
# pretty printing functions
function print_status { echo -e "\x1B[01;34m[*]\x1B[0m $1"; }
function print_good { echo -e "\x1B[01;32m[*]\x1B[0m $1"; }
function print_error { echo -e "\x1B[01;31m[*]\x1B[0m $1"; }
function print_notification { echo -e "\x1B[01;33m[*]\x1B[0m $1"; }
function printline { hr=-------------------------------------------------------------------------------------------------------------------------------
printf '%s\n' "${hr:0:${COLUMNS:-$(tput cols)}}"
}
####################################
# print message and exit program
function die { print_error "$1" >&2;exit 1; }
####################################
# function that is called when the script exits
function finish {
    [ -f $(dirname $0)/temp.p12 ] && shred -u $(dirname $0)/temp.p12;
}

#whenver the script exits call the function "finish"
trap finish EXIT
#######################################
# if file exists remove it
function move_file_if_exist {
  [ -e $1 ] && mv $1 $1.old && print_status "moved file $1 to $1.old";
}
#######################################
# Verify user provided valid file
function file_must_exist {
  [ ! -f $1 ] && die "$1 is not a valid file, please provide a valid file name!  Exiting....";
  print_status "$1 is a valid file"
}
#######################################
# Verify user provided two arguments
# Verify user provided two arguments
[ $# -ne 2 ] && die "Usage: ./crt_to_keystore.sh <path_to_crt> <path_to_key>";

# Assign user's provided input to variables
crt=$1
key=$2
#read -p "Provide password to export .crt and .key: " key_pw
read -p "Provide password for new keystore: " pw

# Define some Variables
readonly ourPath="$(dirname $0)"
readonly gdbundle="$ourPath/gd_bundle.crt"  
readonly keystore="$ourPath/tomcat.keystore"
readonly p12="$ourPath/temp.p12"
readonly KEYTOOL=$(which keytool)
readonly OPENSSL=$(which openssl)

#######################################
# Functions used by main execution
function gd_check_cert {
    # Verify gd_bundle.crt exists
    [ ! -f "$1" ] && print_error "$1 not found!  Downloading..." && wget https://certs.godaddy.com/repository/$1;
    [ ! -f "$1" ] && die "$1 must exist in current path!  Exiting....";
    [ -f "$1" ] && print_status "found $1 in current path"
}

function verify_before_execution {
    printline
    #verify godaddy cert
    gd_check_cert $gdbundle

    #Check to make sure the user provided valid files

    file_must_exist ${crt}
    file_must_exist ${key}

    move_file_if_exist ${keystore}
}

function import_godaddy_root {
    print_status "Importing gd_bundle.crt to java key store..."

    ${KEYTOOL} -import \
    -alias root \
    -keystore ${keystore} \
    -trustcacerts \
    -file ${gdbundle} \
    -keypass ${pw} \
    -storepass ${pw}  >/dev/null 2>/dev/null
    [ ! $? -eq 0 ] && die "Error running command... Exiting!";
}

function export_to_p12 {
    printline
    print_status "Exporting your key and cert to pkcs12 format..."
    ${OPENSSL} pkcs12 -export -chain -CAfile gd_bundle.crt -inkey ${key} -in ${crt} -out ${p12} -password pass:${pw}

    [ ! $? -eq 0 ] && die "Error running command... Exiting!";

}

function import_p12_file {
    print_status "Importing p12 file to java key store..."
    ${KEYTOOL} -importkeystore \
    -srcalias 1 \
    -destalias tomcat \
    -srckeystore ${p12} \
    -srcstoretype PKCS12 \
    -srcstorepass ${pw} \
    -destkeystore ${keystore} \
    -keypass ${pw} \
    -storepass ${pw} \
    -dest‐storepass ${pw} >/dev/null 2>/dev/null
    [ ! $? -eq 0 ] && die "Error running command... Exiting!";
}

function print_msg_after_creation {
    printline
    print_good "Keystore ${keystore} creation complete!"
    printline
    print_status "Don't forget to copy ${keystore} to /etc/tomcat7/tomcat.keystore and update server.xml"
    printline
}

#######################################
# Main Execution
verify_before_execution
export_to_p12
import_godaddy_root
import_p12_file
print_msg_after_creation

Fonte: link

    

Answer 2

Vou tentar esclarecer um pouco o procedimento de assinatura:

• Geração de chaves: você cria uma chave privada
• Geração de CSR: com sua chave privada, você cria uma solicitação para uma autoridade de certificação que contém um certificado a ser assinado
• Assinatura da CA: a CA assina seu certificado e o envia de volta para você (agora ele tem dentro da sua impressão digital e pode ser um).
• cert import: import assinado no keystore, tornando-o disponível para o tomcat
• import de chain-cert: certificados de importação que definem a cadeia de confiança

A CA pode delegar a assinatura para que, para garantir que um certificado assinado seja válido, os clientes possam verificar toda identidade da CA. (por exemplo, seu certificado é assinado por ca.contoso e contoso usa verisign como autoridade cert; o cliente verificará, em seguida, contoso e, em seguida, indicará um, se todos estiverem OK, seu certificado será considerado válido)