Authentification mutuelle avec Tomcat 7

Ok-après avoir creusé beaucoup plus, j'ai finalement obtenu ce travail. Un grand merci à @Dave G et à ce tutoriel:http://java-notes.com/index.php/two-way-ssl-on-tomcat d'où la plupart de ces instructions sont paraphrasées.

en général, les étapes à suivre pour obtenir la fonctionnalité d'authentification mutuelle sont les suivantes:

1. Créer un certificat pour le serveur tomcat. Le client doit faire confiance à ce certificat.
2. créer un keystore pour le tomcat serveur, et importez le certificat de serveur.
3. Créer un certificat pour le client. Le serveur doit faire confiance à ce certificat.
4. Import client certificat dans le serveur keystore
5. mise à jour du serveur tomcat.fichier xml avec le bon connecteur XML.

Les étapes ci-dessus sont nécessaires sur le serveur. Une fois terminé, pour configurer le client, ne l' suivantes:

1. copier le certificat client du serveur vers le client.
2. utilisez le certificat client lorsque vous communiquez avec le serveur (ce processus varie selon la nature de l'application client).

pour la configuration du certificat, j'ai exécuté ce qui suit sur la machine serveur:

# For the following commands, set the values in parenthesis to be whatever makes sense for your environment.  The parenthesis are not necessary for the command.

# This is an all-in-one command that generates a certificate for the server and places it in a keystore file, while setting both the certifcate password and the keystore password.
# The net result is a file called "tomcat.keystore". 

keytool -genkeypair -alias (serveralias) -keyalg RSA -dname "CN=(server-fqdn),OU=(organizationalunit),O=(organization),L=(locality),ST=(state),C=(country)" -keystore tomcat.keystore -keypass (password) -storepass (password)

# This is the all-in-one command that generates the certificate for the client and places it in a keystore file, while setting both the certificate password and the keystore password.
# The net result is a file called "client.keystore"

keytool -genkeypair -alias (clientalias) -keyalg RSA -dname "CN=(client),OU=(organizationalunit),O=(organization),L=(locality),ST=(state),C=(country)" -keypass (password) -keystore client.keystore -storepass (password) 

# This command exports the client certificate.  
# The net result is a file called "client.cer" in your home directory.

keytool -exportcert -rfc -alias (clientalias) -file client.cer -keypass (password) -keystore client.keystore -storepass (password)

# This command imports the client certificate into the "tomcat.keystore" file.

keytool -importcert -alias (clientalias) -file client.cer -keystore tomcat.keystore -storepass (password) -noprompt

les certificats doivent maintenant être installés de façon appropriée. La prochaine étape est de configurer le connecteur dans le tomcat serveur.XML. Ajouter un élément de connecteur qui ressemble à ceci:

<Connector port="8443"
    maxThreads="150"
    scheme="https"
    secure="true"
    SSLEnabled="true"
    truststoreFile="/full/path/to/tomcat.keystore"
    truststorePass="(password)"
    keystoreFile="/full/path/to/tomcat.keystore"
    keystorePass="(password)"
    clientAuth="true"
    keyAlias="serverkey"
    sslProtocol="TLS"/>      

notez que dans le XML ci-dessus:

1. l'attribut "port" peut être ce que vous voulez.
2. les attributs" keystoreFile "et" trustststorefile " doivent être des chemins complets. Tomcat ne regarde pas dans le même répertoire que server.xml par défaut.
3. les attributs "keystorePass" et "trustststorepass" doivent correspondre à la valeur (password) que vous avez utilisée dans la création du tomcat.fichier de magasin de clés.
4. l'attribut "clientAuth" être défini sur "true". C'est ce qui déclenche l'authentification mutuelle.

de plus, dans le serveur.xml, assurez-vous que vous DO NOT avoir un AprLifecycleListner défini. Le XML de cet écouteur ressemblera à quelque chose comme ceci:

<Listener className="org.apache.catalina.core.AprLifecycleListener" SSLEngine="on" />

cet élément devrait être supprimer/commenté. L'AprLifecycleListener ne se configure pas de la même manière que décrit ci-dessus, et ne fonctionnera pas avec ces instructions.

redémarrez tomcat. La configuration du serveur doit être complète.

J'ai testé mon travail en utilisant Firefox, parce qu'il est facile d'y ajouter des certificats clients. Ouvrez Firefox et essayez de vous connecter à un terminal de votre service tomcat sur le port défini dans votre connecteur.

Ex: https://mytomcatdomain.com:8443/test

lorsque vous faites cela, vous devriez obtenir L'alerte standard de Firefox à propos d'une connexion non fiable parce que nous avons créé une certificat auto-signé pour notre serveur Tomcat. Ajouter une exception pour le certificat afin que notre client (Firefox) fasse confiance à notre serveur (Tomcat).

une fois que vous avez ajouté l'exception, vous devriez recevoir un message "secure Connection Failed". Le code d'erreur est "ssl_error_bad_cert_alert". Cela confirme que notre serveur Tomcat demande l'authentification du client. La demande échoue parce que nous n'avons pas configuré Firefox pour envoyer notre certificat client de confiance encore.

pour configurer Firefox, nous devons faire un peu plus de magie:

// Create a file called DumpPrivateKey.java.  The contents should look like so:
public class DumpPrivateKey {
public static void main(String[] args) throws Exception {
  final String keystoreName = args[0];
    final String keystorePassword = args[1];
    final String alias = args[2];
    java.security.KeyStore ks = java.security.KeyStore.getInstance("jks");
    ks.load(new java.io.FileInputStream(keystoreName), keystorePassword.toCharArray());
    System.out.println("-----BEGIN PRIVATE KEY-----");
    System.out.println(new sun.misc.BASE64Encoder().encode(ks.getKey(alias, keystorePassword.toCharArray()).getEncoded()));
    System.out.println("-----END PRIVATE KEY-----");
  }
}

Compiler le fichier java avec la commande suivante:

javac DumpPrivateKey.java

nous allons maintenant utiliser ce petit utilitaire pour extraire une clé du client.fichier keystore que nous créons ci-dessus. Copiez le client.keystore et client.les fichiers cer dans le même répertoire que votre classe DumpPrivateKey. Exécutez ce qui suit:

# This extracts the client key from the client keystore

java DumpPrivateKey client.keystore (password) clientkey > clientkey.pkcs8

# This creates a client.p12 file that can be used by Firefox

openssl pkcs12 -export -in client.cer -inkey clientkey.pkcs8 -password pass:(password) -out client.p12

notez que dans le code ci-dessus, (mot de passe) devrait être le mot de passe que vous avez utilisé pour créer le client.fichier de stockage des clés.

ouvrez les préférences de Firefox. Cliquez sur l'onglet "Certificats". Cliquez sur le bouton" Voir les certificats". Cliquez sur l'onglet "Vos Certificats".

Cliquez sur le bouton "Importer" et accédez à la clientèle".p12" fichier qui a été créé précédemment. Vous devriez être invité à entrer le mot de passe pour le certificat client.

en présumant le "client".p12" a été importé avec succès, vous pouvez maintenant vous rafraîchir Firefox page, et vous devriez obtenir une réponse réussie de votre serveur Tomcat endpoint.