如何用Tomcat和Openssl構(gòu)建HTTPS雙向認(rèn)證環(huán)境？配置前，直接淘寶：gworg獲取公網(wǎng)信任證書。配置Tomcat以支持HTTPS的雙向身份驗(yàn)證（服務(wù)器將對(duì)客戶端證書進(jìn)行身份驗(yàn)證）：修改服務(wù)

如何用Tomcat和Openssl構(gòu)建HTTPS雙向認(rèn)證環(huán)境？

配置前，直接淘寶：gworg獲取公網(wǎng)信任證書。配置Tomcat以支持HTTPS的雙向身份驗(yàn)證（服務(wù)器將對(duì)客戶端證書進(jìn)行身份驗(yàn)證）：修改服務(wù)器.xml文件（$Tomcat）uhome/conf/服務(wù)器.xml)事實(shí)上，HTTPS的單向和雙向身份驗(yàn)證配置的唯一區(qū)別是將clientauth更改為false，并刪除truststore的相關(guān)配置，即單向HTTPS身份驗(yàn)證。單向HTTPS可能會(huì)被更多地使用。主要需要在瀏覽器與f服務(wù)器交互的HTTP中進(jìn)行加密，但不需要在客戶端證書不需要驗(yàn)證的情況下進(jìn)行加密。）完成上述配置后，重啟tomcat，服務(wù)器支持HTTPS的雙向認(rèn)證。

SSL證書做雙向認(rèn)證是否需要安裝第三方的插件？

常用的web服務(wù)器中間件將具有支持客戶端身份驗(yàn)證的功能。要配置SSL證書，只需修改配置文件即可啟用客戶端身份驗(yàn)證功能，無(wú)需安裝第三方插件。如果您對(duì)認(rèn)證還有疑問(wèn)，可以咨詢天威誠(chéng)信等專業(yè)CA機(jī)構(gòu)。

認(rèn)證原理，SSL雙向認(rèn)證和SSL單向認(rèn)證的區(qū)別？

雙向認(rèn)證SSL協(xié)議的具體通信過(guò)程，要求服務(wù)器和客戶端都有證書。單向身份驗(yàn)證SSL協(xié)議不要求客戶機(jī)擁有CA證書，在協(xié)商對(duì)稱密碼方案和對(duì)稱調(diào)用密鑰時(shí)，服務(wù)器向客戶機(jī)發(fā)送一個(gè)未加密（不影響SSL進(jìn)程的安全）密碼方案。這樣，雙方的具體通信內(nèi)容就是加密數(shù)據(jù)。如果存在第三方攻擊，則僅獲取加密數(shù)據(jù)。如果第三方想要獲得有用的信息，就需要對(duì)加密后的數(shù)據(jù)進(jìn)行解密。此時(shí)，安全性取決于加密方案的安全性。幸運(yùn)的是，只要通信密鑰足夠長(zhǎng)，當(dāng)前的加密方案就足夠安全。這就是我們強(qiáng)調(diào)128位加密通信的原因。一般web應(yīng)用采用單向認(rèn)證，原因很簡(jiǎn)單，用戶數(shù)量廣，而且不需要在通信層做用戶認(rèn)證，一般在應(yīng)用邏輯層保證用戶合法登錄。但是，如果是企業(yè)應(yīng)用對(duì)接，情況就不同了，可能需要對(duì)客戶端（相對(duì)來(lái)說(shuō)）進(jìn)行身份驗(yàn)證。此時(shí)，我們需要做雙向身份驗(yàn)證。