Tomcat не предоставляет промежуточный сертификат (https)

Я создал ключ и консоль csr, используя исполняемый файл openssl. Затем я отправил csr в CA и получил сертификат. Теперь я хочу импортировать его в tomcat.

Итак, я создал файл PKCS # 12 из своего ключа и моего сертификата:

а затем создал хранилище ключей, содержащее его:

Затем я импортирую промежуточную цепочку сертификатов .crt:

Когда я перезапускаю tomcat, он не регистрирует ошибок в catalina.out, все выглядит нормально. Но когда я запускаю firefox, он сообщает

Запуск "openssl s_client -connect [domain]: 443 -showcerts" возвращает

Я думаю, что tomcat не доставляет промежуточный сертификат, хотя он его знает. Что я могу сделать, чтобы сделать tomcat?

Дополнительная информация: При импорте сертификата pkcs12 отсутствует цепочка цепочек сертификатов, так как команда -importkeystore не проверяет цепочку. Я также попытался сначала импортировать промежуточный сертификат, а затем вызвать -importkeystore. Я получил те же результаты.

изменить: Я просто попробовал другой способ, вставив цепочку непосредственно в сертификат PKCS # 12 и получив следующую ошибку:

Ответы

Ответ 1

Наконец, я начал работать. Это не чистое решение, но оно работает. Я добавил промежуточный сертификат к моим местным /etc/ssl/certs, а затем вызвал

openssl pkcs12 -export -in cert.pem -inkey key.key -out key_and_cert.p12 -chain

Полученный сертификат pkcs12, который я преобразовал в jks через

keytool -importkeystore -deststorepass [password] -destkeystore keystore.jks -srckeystore key_and_cert.p12 -srcstoretype PKCS12 -srcstorepass [password]

Этот результирующий файл, похоже, теперь работает, tomcat поставляет цепочку сертификатов также клиентам, у которых нет промежуточного сертификата в каталоге /etc/ssl/certs. Но я думаю, что также должен быть способ без изменения/etc/ssl/certs.

Ответ 2

Мне пришлось создать файл CA, найдя корневой сертификат для моего эмитента и затем помещая промежуточный сертификат над ним в тот же файл. Затем я побежал:

openssl pkcs12 -export -chain -inkey mykey.key -in mye.crt -name "tomcat" -CAfile intermediate_plus_root.crt -out key_and_cert.p12

Ответ 3

Он работает для меня с использованием APR. См. http://tomcat.apache.org/tomcat-7.0-doc/config/http.html#SSL_Support_-_APR/Native

  <Connector port="3573" protocol="HTTP/1.1" SSLEnabled="true"
               maxThreads="150" scheme="https" secure="true"
               clientAuth="false" sslProtocol="TLS" 
               SSLCertificateFile="/my/pem/encoded/certificate/file"
               SSLCertificateKeyFile="/my/pem/encoded/certificate/private_key"
               SSLPassword="yourKeyFilePassword"
               SSLCertificateChainFile="/my/pem/encoded/certificate/authorities/file"
               />

Ответ 4

Существует даже более простое решение, которое предлагается в некоторых комментариях (без сохранения корневых и промежуточных сертификатов в /etc/ssl/certs )

Сначала скопируйте все необходимые корневые и промежуточные сертификаты в папку (в нашем примере папка "~/certs", а наши два сертификата называются "PrimaryCA.pem" и "SecondaryCA.pem" ):

mkdir ~/certs
mv PrimaryCA.pem ~/certs/PrimaryCA.pem
mv SecondaryCA.pem ~/certs/SecondaryCA.pem

Затем 'c_rehash' папку:

c_rehash ~/certs

Теперь папка certs будет содержать две новые символические ссылки по следующей схеме: {{hash-value}. {n} ', где {hash-value} является 8-символьным хэш-значением, а {n} является целым числом. Если в этом случае вы продолжите следующую команду, которая создаст ваш .p12, используя "-CApath" вместо того, чтобы долгое время копировать сертификаты в /etc/ssl/certs:

openssl pkcs12 -export -in cert.pem -inkey key.key -out key_and_cert.p12 -chain -CApath ~/certs

Наконец, преобразуем его в jks как Heinzi, который уже полностью описан в его ответе:

keytool -importkeystore -deststorepass [password] -destkeystore keystore.jks -srckeystore key_and_cert.p12 -srcstoretype PKCS12 -srcstorepass [password]

Ответ 5

убедитесь, что вы скопировали файлы openssl ca в промежуточные файлы.

в RHEL введите следующий файл в файл вашего эмитента.

/etc/pki/tls/certs/ca-bundle.crt