TOMCAT 伺服器SSL憑證請求檔製作與憑證安裝手冊

Size: px

Start display at page:

Download "TOMCAT 伺服器SSL憑證請求檔製作與憑證安裝手冊"

申童
5 years ago
Views:

1 中華電信通用憑證管理中心 (PublicCA) TOMCAT 伺服器 SSL 憑證請求檔製作與憑證安裝手冊聲明 : 本手冊之智慧財產權為中華電信股份有限公司 ( 以下簡稱本公司 ) 所有, 本公司保留所有權利本手冊所敘述的程序係將本公司安裝相關軟體的經驗分享供申請 SSL 伺服軟體憑證用戶參考, 若因參考本手冊所敘述的程序而引起的任何損害, 本公司不負任何損害賠償責任本手冊的申請程序, 已經在 Windows 系統 + Tomcat 7.0 版測試過, 您所使用的版本或環境可能與本手冊所測試的版本有所差異, 若是如此則請參考您的 Tomcat 相關使用手冊, 適度調整申請步驟目錄 Tomcat SSL 憑證請求檔製作手冊... 2 Tomcat SSL 憑證安裝操作手冊... 5 附件一 : 停用 SSLv 附件二 : 更換 SHA256 憑證

2 Tomcat SSL 憑證請求檔製作手冊一確認 Tomcat server.xml 設定與 Java 版本 1.1 啟動 Tomcat SSL 通訊, 請確認在 tomcat_home\conf\server.xml 中, 是否有把 SSL PORT 打開確認 https 是否為 true 1.2 由於 Tomcat 的底層是 Java, 如果其所使用的 Java(JDK) 版本是 1.5 版以前的版本, 將無法安裝 RSA 4096 位元金鑰長度的 eca 憑證, 因為舊版的 Java 最多只支援 RSA 2048 bits 的金鑰長度, 這將造成 Java Keystore 不會將 eca 憑證 PublicCA 憑證及 SSL 憑證視為 1 個憑證串鏈, 結果在 SSL Handshake 中,PublicCA 憑證就不會被送到 Client 端, 建議請使用最新版本的 Java(JDK) 版本二如何產生金鑰對 2.1 由開始執行輸出 cmd 確認 2.2 在 %JAVA_HOME%\bin 目錄下, 請執行 keytool -genkey -alias < 金鑰的 alias name> -keyalg RSA -keysize keystore <keystore 儲存路徑 >( 請自行輸入需要的路徑與檔名 ) 若您非第 1 次申請憑證, 請確認您所指定的路徑與檔名不會覆蓋線上正在使用的憑證此指令會在指定目錄下產生 ".keystore" 檔 ( 內含私密金鑰 ), 請勿於提出憑證申請後重複執行此指令, 否則舊的 ".keystore" 檔將會被覆蓋依照國際密碼學之規範,2014 年起不要再使用 RSA 1024 位元之憑證, 請產製 RSA 2048 位元 ( 含 ) 以上金鑰長度的金鑰對請妥善保管此 ".keystore" 檔 2

2.3 出現輸入 keystore( 金鑰儲存庫 ) 密碼 : 請輸入一個密碼, 用以保護此儲存庫 ( 請妥善保存此組密碼 ) 2.4 出現您的名字與姓氏為何? : 請填入欲申請的網站名稱 ex:www.test.com.tw 2.5 出現您的組織單位名稱為何? : 請填入公司單位名稱 2.6 出現您的組織名稱為何? : 請填入公司名稱 2.7 出現您所在的城市或地區名稱為何?

3 2.3 出現輸入 keystore( 金鑰儲存庫 ) 密碼 : 請輸入一個密碼, 用以保護此儲存庫 ( 請妥善保存此組密碼 ) 2.4 出現您的名字與姓氏為何? : 請填入欲申請的網站名稱 ex: 2.5 出現您的組織單位名稱為何? : 請填入公司單位名稱 2.6 出現您的組織名稱為何? : 請填入公司名稱 2.7 出現您所在的城市或地區名稱為何? : 請填入公司所在地 2.8 出現您所在的州及省份名稱為何? : 可以不用輸入, 按 Enter 跳過出現此單位的兩個字母國別代碼為何? : 請填入 TW 2.10 檢查所輸入的資料是否正確, 若正確, 請輸入 Y 2.11 出現輸入 <tomcat> 的金鑰密碼 : 請直接按 "Enter" 鍵 ( 注意 : 此步驟所設的密碼必須與 2.3 步驟所設的密碼一致, 否則 tomcat 將無法使用此金鑰來啟動 SSL) 三如何產製憑證請求檔 3.1 在 %JAVA_HOME%\bin 下, 執行 keytool -certreq -alias < 上一步驟所用的 alias name> -file < 憑證請求檔儲存路徑 > -keystore <keystore 檔案所在路徑 > 3.2 出現輸入 keystore( 金鑰儲存庫 ) 密碼 : 請輸入上一個步驟所設定的密碼 3.3 請複製憑證請求檔 (certreq.txt) 至中華電信通用憑證管理中心網站 ( 依照網頁說明申請 SSL 憑證 ( 以文字編輯器如記事本開啟憑證請求檔, 全選及複製檔案內容, 將憑證請求檔貼上 SSL 憑證申請網頁之表單 ) 若屬於中華電信公司各單位申請 SSL 憑 3

4 證者, 請持憑證請求檔從企業入口網站電子表單之資訊表單 IS14- 伺服器應用軟體憑證申請 / 異動單提出申請 3.4 補充說明 1: 中華電信通用憑證管理中心之程式會擷取憑證請求檔中的公開金鑰, 但不會使用憑證請求檔中於步驟所輸入之資訊, 而是以於申請網頁上所填入的完全吻合網域名稱 (Fully Qualified Domain Name, FQDN) 與組織資訊為準, 而記載於所簽發的 SSL 憑證裡面的欄位 [ 如憑證主體名稱 (Subject Name) 或憑證主體別名 (Subject Alternative Name) 等欄位 ] 3.5 補充說明 2: 若您是申請多網域 SSL 憑證或萬用網域 SSL 憑證, 僅需要產生 1 個憑證請求檔 ( 產生憑證請求檔之過程就是幫您的伺服器產製 1 對金鑰對, 私密金鑰與密碼由伺服器管理者保管, 公開金鑰會包含在憑證請求檔內, 憑證管理中心審驗您的身分與網域名稱擁有權或控制權後, 所簽發的憑證會包含客戶之組織身分完全吻合網域名稱與公開金鑰在憑證內後續先安裝 SSL 憑證串鏈在產生憑證請求檔之站台, 再將私密金鑰與憑證備份匯入其他站台, 不同廠牌伺服器之匯出與匯入可參考手冊或寫電子郵件給本管理中心技術客服信箱 caservice@cht.com.tw 詢問, 不需要每個網站站台都分別產生憑證請求檔 ) 4

5 Tomcat SSL 憑證安裝操作手冊一下載憑證串鏈, 包含 3 張憑證, 分別是 (1)eCA 根憑證 (epki Root CA 憑證, 也就是中華電信憑證總管理中心自簽憑證 ) (2)PublicCA 中繼憑證 ( 中華電信通用憑證管理中心自身憑證 ) 與 (3)PublicCA 簽發給用戶的 SSL 伺服器憑證, 可採以下兩種方式之一取得 : 1. 您若是本公司之客戶, 技術聯絡人的電子郵件信箱會收到憑證串鏈壓縮檔, 解壓縮後包括 3 個檔案, 分別是 eca 根憑證 ( 檔名為 ROOTeCA_64.crt) PublicCA 中繼憑證 ( 檔名為 PublicCA2_64.crt) 與用戶端 SSL 伺服器軟體憑證 ( 檔名為 32 個英數字所組成, 此為憑證序號 ) 若是中華電信之所屬單位, 於經審驗核准申請之電子表單的資訊表單 IS 14- 伺服器應用軟體憑證申請 / 異動單頁面下方, 可以下載憑證串鏈壓縮檔, 解壓縮後可以取得憑證串鏈 3 個檔案 2. 從網站查詢與下載 : eca 憑證 : PublicCA G2 憑證 : SSL 憑證下載 : 您若是本公司之客戶, 請至 PublicCA 網站點選 SSL 憑證服務再點選 SSL 憑證查詢及下載, 進行 SSL 憑證下載若您是中華電信之員工, 負責管理單位之伺服器, 請至點選憑證與卡片作業, 再點選憑證查詢, 下載 SSL 憑證二安裝 SSL 憑證, 請使用您之前產生憑證請求檔的 Keystore 來執行匯入動作 ( 依信任關係, 由最上層憑證, 依序往下安裝 ) 2.1 安裝 eca Root 憑證在 %JAVA_HOME%\bin 目錄下執行 keytool -import -alias eca -file D:\ROOTeCA_64.crt -keystore <keystore 檔案所在路徑 > 請依實際您存放檔案的位置調整指令待出現 Enter keystore password: 請輸入密碼待出現 Trust this certificate: 請輸 yes 2.2 安裝 PublicCA G2 憑證在 %JAVA_HOME%\bin 目錄下執行 keytool -import -alias PublicCA2 -file D:\PublicCA2_64.crt -keystore <keystore 檔案所在路徑 > 5

$3 確認 PrivateKeyEntry 的 alias name 在 %JAVA_HOME%\bin 目錄下執行 keytool -list -keystore <keystore 檔案所在路徑 > 待出現 Enter keystore password: 請輸入密碼找到 PrivateKeyEntry 對應的 alias name, 範例為 tomcat 若您的 keystore 沒有$

6 待出現 Enter keystore password: 請輸入密碼待出現 Trust this certificate: 請輸 yes 2.3 確認 PrivateKeyEntry 的 alias name 在 %JAVA_HOME%\bin 目錄下執行 keytool -list -keystore <keystore 檔案所在路徑 > 待出現 Enter keystore password: 請輸入密碼找到 PrivateKeyEntry 對應的 alias name, 範例為 tomcat 若您的 keystore 沒有 PrivateKeyEntry, 放入 server 後,SSL 也無法成功連線請找出原 keystore 檔案, 或是重新申請 2.4 匯入 SSL 伺服器應用軟體憑證在 %JAVA_HOME%\bin 目錄下執行 keytool -import -alias <PrivateKeyEntry 的 alias name> -file D:\( 憑證名稱.crt 或憑證名稱.cer) -keystore <keystore 檔案所在路徑 > 待出現 Enter keystore password: 請輸入密碼 2.5 修改 Tomcat server.xml 設定開啟 %tomcat_home%\conf\server.xml 找到如下圖的地方, 修改 ( 加入 ) keystorefile keystorepass 的參數 6

最後請將 tomcat 重新啟動, 並以 https 連線測試 SSL 加密通道請注意,tomcat 預設 https 使用 8443 port, 如需要 443 port, 請自行修改依照您的網路架構, 您可能需要於防火牆開啟對應 https 的 port 三安裝 SSL 安全認證標章 : 請用戶參考技術聯絡人的電子郵件信箱所收到 SSL 憑證串鏈電子郵件內文的 SSL

7 最後請將 tomcat 重新啟動, 並以 https 連線測試 SSL 加密通道請注意,tomcat 預設 https 使用 8443 port, 如需要 443 port, 請自行修改依照您的網路架構, 您可能需要於防火牆開啟對應 https 的 port 三安裝 SSL 安全認證標章 : 請用戶參考技術聯絡人的電子郵件信箱所收到 SSL 憑證串鏈電子郵件內文的 SSL 安全認證標章安裝說明, 將網站 SSL 安全認證標章安裝成功, 網友可瀏覽您所維護網站所安裝 SSL 憑證的狀態與資訊您也可參考下方有 SSL 安全認證標章之安裝說明請中華電信公司負責維護網站的同仁, 參考從企業入口網站的電子表單之資訊表單 IS14- 伺服器應用軟體憑證申請 / 異動單所下載 SSL 憑證串鏈檔案中的 SSLSealispec.txt, 將網站 SSL 安全認證標章安裝成功 7

$附件一 : 停用 SSLv3.0 開啟 %tomcat_home%\conf\server.xml 找到如下圖的地方, 修改 ( 加入 ) 若您使用的 Tomcat 版本為 5 或 6(6.0.38 以前 ) sslprotocols= TLSv1,TLSv1.1,TLSv1.2 的參數若您使用的 Tomcat 版本為 6(6.0.38 以後 ) 或 7 sslenabledprotocols= TLSv1,TLSv1.$

8 附件一 : 停用 SSLv3.0 開啟 %tomcat_home%\conf\server.xml 找到如下圖的地方, 修改 ( 加入 ) 若您使用的 Tomcat 版本為 5 或 6( 以前 ) sslprotocols= TLSv1,TLSv1.1,TLSv1.2 的參數若您使用的 Tomcat 版本為 6( 以後 ) 或 7 sslenabledprotocols= TLSv1,TLSv1.1,TLSv1.2 的參數重新啟動 tomcat, 使用可以測試工具 ( 註 1 註 2) 進行檢測, 看 SSL3.0 是否已停用註 1: 例如行政院國家資通安全會報技服中心網頁有介紹兩種檢測伺服器端 SSL 協定的工具 :(1) TestSSLServer ( (2) QUALYS SSL LABS SSL Server Test 檢測工具 ( 也是 CA/Browser Forum 網站建議的檢測工具 ) 可偵測伺服器所使用之加密協定, 因 2014 年 10 月中國際公告了 SSLv3 加密協定存在中間人攻擊弱點, 弱點編號 CVE (POODLE), 故建議不要使用 SSL V3 協定, 請改用 TLS 最新協定 8

註 2: (1) 若是用戶端各平台之瀏覽器要停止使用 SSL V3 協定可參考 https://zmap.io/sslv3/browsers.html 之英文說明 (2) 請超連結至 https://dev.ssllabs.com/ssltest/viewmyclient.

9 註 2: (1) 若是用戶端各平台之瀏覽器要停止使用 SSL V3 協定可參考之英文說明 (2) 請超連結至可檢測您用戶端之瀏覽器是否已經停用 SSL V3 (3) 若是 I.E. 瀏覽器可於工具列 -> 網際網路選項 -> 進階 -> 安全性取消勾選使用 SSL V3 與使用 SSL V2, 或參考下圖設定 ( 取材自行政院國家資通安全會報技服中心網頁 9

10 附件二 : 更換 SHA256 憑證適用於申請時, 有同時取得 SHA-1 SHA256 憑證或是憑證在效期內, 經由審驗人員再次核發 SHA256 憑證者有關國際間漸進淘汰 SHA-1 憑證移轉至 SHA 256 憑證細節, 請參閱問與答之金鑰長度與演算法 ( 需要檔案 : 線上在使用的.keystore 檔 PublicCA G2 中繼憑證 : 可於 zip 檔中取得 SHA256 SSL 憑證安裝步驟 : 安裝 eca Root 憑證 ( 之前已安裝過, 此步驟可忽略 ) 在 %JAVA_HOME%\bin 目錄下執行 keytool -import -alias eca -file D:\ROOTeCA_64.crt -keystore D:\.keystore 安裝 PublicCA G2 憑證在 %JAVA_HOME%\bin 目錄下執行 keytool -import -alias PublicCAG2 -file D:\PublicCA2_64.crt -keystore D:\.keystore 匯入 SHA 256 SSL 伺服器應用軟體憑證在 %JAVA_HOME%\bin 目錄下執行 keytool -import -alias tomcat -file D:\( 憑證名稱.crt 或憑證名稱.cer) -keystore D:\.keystore 最後請將 tomcat 重新啟動, 並以 https 連線測試 SSL 加密通道 10

Windows IIS 7.0 SSL 憑證請求檔製作與憑證安裝手冊

中華電信通用憑證管理中心 (PublicCA) Windows IIS 7.0 SSL 憑證請求檔製作與憑證安裝手冊聲明 : 本手冊之智慧財產權為中華電信股份有限公司 ( 以下簡稱本公司 ) 所有, 本公司保留所有權利本手冊所敘述的程序係將本公司安裝相關軟體的經驗分享供申請 SSL 伺服軟體憑證用戶參考, 若因參考本說明文件所敘述的程序而引起的任何損害, 本公司不負任何損害賠償責任目錄 Windows