HTTPS安全性通訊協定的原理及配置使用

HTTPS原理 用戶端向伺服器發送請求 伺服器向用戶端發送自己的認證 用戶端驗證認證的有效性（是否是可信用機構CA頒發的認證，如果不是則提出警告）並對比裡面資訊是否正確，不通過則立刻中斷連線 向伺服器端發送自己的認證及支援的密碼編譯演算法列表 伺服器端驗證客戶認證的有效性，並選擇加密程度最高的密碼編譯演算法，用客戶的公開金鑰加密後發給用戶端 用戶端用自己的私密金鑰解密得到要使用的密碼編譯演算法，然後隨機產生主密碼key在用伺服器端的公開金鑰對其加密並發送 伺服器用自己的私密金鑰解密擷取主密碼 以後發送的資訊都通過對稱式加密進行加密通訊

Https有單向和雙向驗證，它們的區別
單向認證只要求網站部署了ssl認證就行，任何使用者都可以去訪問（IP被限制除外等），只是服務端提供了身份認證。而雙向認證則是需要是服務端需要用戶端提供身份認證，只能是服務端允許的客戶能去訪問，安全性相對於要高一些
雙向認證SSL 協議的具體通訊過程，這種情況要求伺服器和用戶端雙方都有認證。 單向認證SSL 協議不需要用戶端擁有CA認證，以及在協商對稱密碼方案，對稱通話密鑰時，伺服器發送給用戶端的是沒有加過密的（這並不影響SSL過程的安全性）密碼方案。這樣，雙方具體的通訊內容，就是加密過的資料。如果有第三方攻擊，獲得的只是加密的資料，第三方要獲得有用的資訊，就需要對加密的資料進行解密，這時候的安全就依賴於密碼方案的安全。而幸運的是，目前所用的密碼方案，只要通訊密鑰長度足夠的長，就足夠的安全。這也是我們強調要求使用128位加密通訊的原因。
一般Web應用都是採用單向認證的，原因很簡單，使用者數目廣泛，且無需做在通訊層做使用者身分識別驗證，一般都在應用邏輯層來保證使用者的合法登入。但如果是公司專屬應用程式對接，情況就不一樣，可能會要求對用戶端（相對而言）做身分識別驗證。這時就需要做雙向認證。

Tomcat配置單向Https

1.使用jdk中的keytool工具產生認證庫檔案，並複製到tomcat的conf目錄下

keytool -genkey -v -alias tomcat -keyalg RSA -keystore D:/SSL/server/tomcat.keystore -dname "CN=localhost,OU=zlj,O=zlj,L=Peking,ST=Peking,C=CN" -validity 3650 -storepass 123456 -keypass 123456

2.修改tomcat的server.xml檔案（keystoreFile可以通過相對路徑指定）

<Connector         port="8443" maxHttpHeaderSize="8192"    maxThreads="150" minSpareThreads="25"    maxSpareThreads="75"    enableLookups="false"     disableUploadTimeout="true"    acceptCount="100" scheme="https"    secure="true"    clientAuth="false" sslProtocol="TLS"     keystoreFile="conf/tomcat.keystore"     keystorePass="123456" />

3.配置需要強制使用https協議的url

    <!-- 強制SSL配置，即普通的請求也會重新導向為SSL請求 -->     <security-constraint>        <web-resource-collection>            <web-resource-name>SSL</web-resource-name>            <url-pattern>/service/*</url-pattern><!-- 全站使用SSL <url-pattern>/*</url-pattern>-->        </web-resource-collection>        <user-data-constraint>            <description>SSL required</description>            <!-- CONFIDENTIAL: 要保證伺服器和用戶端之間傳輸的資料不能夠被修改，且不能被第三方查看到 -->            <!-- INTEGRAL: 要保證伺服器和client之間傳輸的資料不能夠被修改 -->            <!-- NONE: 指示容器必須能夠在任一的串連上提供資料。（即用HTTP或HTTPS，由用戶端來決定）-->            <transport-guarantee>CONFIDENTIAL</transport-guarantee>        </user-data-constraint>    </security-constraint>