如何生成CA证书？

创建根证书密钥文件(自己做CA)rootkey：

创建根证书的申请文件rootcsr：

创建一个自当前日期起为期十年的根证书rootcrt：

创建服务器证书密钥serverkey：

创建服务器证书的申请文件servercsr

创建自当前日期起有效期为期两年的服务器证书servercrt

创建客户端证书密钥文件clientkey

创建客户端证书的申请文件clientcsr

创建一个自当前日期起有效期为两年的客户端证书clientcrt

将客户端证书文件clientcrt和客户端证书密钥文件clientkey合并成客户端证书安装包clientpfx

保存生成的文件备用，其中servercrt和serverkey是配置单向SSL时需要使用的证书文件，clientcrt是配置双向SSL时需要使用的证书文件，clientpfx是配置双向SSL时需要客户端安装的证书文件 crt文件和key可以合到一个文件里面，把2个文件合成了一个pem文件（直接拷贝过去就行了）

x509证书一般会用到三类文，key，csr，crt。

Key是私用密钥openssl格，通常是rsa算法。

Csr是证书请求文件，用于申请证书。在制作csr文件的时，必须使用自己的私钥来签署申，还可以设定一个密钥。

crt是CA认证后的证书文，（windows下面的，其实是crt），签署人用自己的key给你签署的凭证。 

1key的生成 

opensslgenrsa -des3 -out serverkey 2048 

这样是生成rsa私钥，des3算法，openssl格式，2048位强度。serverkey是密钥文件名。为了生成这样的密钥，需要一个至少四位的密码。可以通过以下方法生成没有密码的key:

opensslrsa -in serverkey -out serverkey 

serverkey就是没有密码的版本了。 

2生成CA的crt

opensslreq -new -x509 -key serverkey -out cacrt -days3650 

生成的cacrt文件是用来签署下面的servercsr文件。 

3csr的生成方法

opensslreq -new -key serverkey -outservercsr 

需要依次输入国家，地区，组织，email。最重要的是有一个common name，可以写你的名字或者域名。如果为了https申请，这个必须和域名吻合，否则会引发浏览器警报。生成的csr文件交给CA签名后形成服务端自己的证书。 

4crt生成方法

CSR文件必须有CA的签名才可形成证书，可将此文件发送到verisign等地方由它验证，要交一大笔钱，何不自己做CA呢。

opensslx509 -req -days 3650 -in servercsr -CA cacrt -CAkey serverkey-CAcreateserial -out servercrt

输入key的密钥后，完成证书生成。-CA选项指明用于被签名的csr证书，-CAkey选项指明用于签名的密钥，-CAserial指明序列号文件，而-CAcreateserial指明文件不存在时自动生成。

最后生成了私用密钥：serverkey和自己认证的SSL证书：servercrt

证书合并：

catserverkey servercrt > serverpem

　　要想成功架设SSL安全站点关键要具备以下几个条件。

　　1、需要从可信的证书办法机构CA获取服务器证书。

　　2、必须在WEB服务器上安装服务器证书。

　　3、必须在WEB服务器上启用SSL功能。

　　4、客户端（浏览器端）必须同WEB服务器信任同一个证书认证机构，即需要安装CA证书。

　　下面，我们对照上面的四部，进行一步一步的操作

　　1：需要从可信的证书办法机构CA获取服务器证书（由于我们是在本地做测试环境，而不是实际操作。所以这里我们自己创建一个证书。如果是实际的操作，需要通过域名商，来获取一个证书，这是要花钱的。）

　　2：必须在WEB服务器上安装服务器证书。

　　打开IIS，找到服务器证书、

　　点击创建自签名证书

　　输入你要创建的证书的名字，我这里取名 joeyssl

　　3、必须在WEB服务器上启用SSL功能。

　　接下来，我们新建一个本地测试站点，并且绑定刚才我们创建的证书。

　　打开 hosts 文件，用于创建一个站点的名称（例如 http://webjoeyssl 那么这个 webjoeyssl 就是我们需要创建的站点名称，我用hosts解析为本地）

　　C:\Windows\System32\drivers\etc

　　在IIS里面绑定目录，绑定http和 https

　　在添加的时候，绑定类型，先选择 http 的类型，虽然这里有 https，但是还是首先要保证能通过 http能访问网站，毕竟大部分的人都是通过http来打开站点的，只是在某些特别需要加密的地方用到https，我们下一步会绑定 https的，这里先不急，除非你整个站点都是https运用，那么这里才只选择https。

ssl证书申请的3个主要步骤

1、制作CSR文件

所谓CSR就是由申请人制作的Certificate Secure Request证书请求文件。制作过程中，系统会产生2个密钥，一个是公钥就是这个CSR文件，另外一个是私钥，存放在服务器上。要制作CSR文件，申请人可以参考WEB SERVER的文档，一般APACHE等，使用OPENssl命令行来生成KEY+CSR2个文件，Tomcat，JBoss，Resin等使用KEYTOOL来生成JKS和CSR文件，IIS通过向导建立一个挂起的请求和一个CSR文件。

2、CA认证

将CSR提交给CA，CA一般有2种认证方式：

1)域名认证：一般通过对管理员邮箱认证的方式，这种方式认证速度快，但是签发的证书中没有企业的名称;

2)企业文档认证：需要提供企业的营业执照。

也有需要同时认证以上2种方式的证书，叫EV ssl证书，这种证书可以使IE7以上的浏览器地址栏变成绿色，所以认证也最严格。

3、证书安装

在收到CA的证书后，可以将证书部署上服务器，一般APACHE文件直接将KEY+CER复制到文件上，然后修改httpDCONF文件;TOMCAT等，需要将CA签发的证书CER文件导入JKS文件后，复制上服务器，然后修改SERVERXML;IIS需要处理挂起的请求，将CER文件导入。

by fleshwound (http://wwwsmatrixorg)

(注：这是我们的完整设计中的一部分，其它有些部分尚要求保密，希望这个拙文能给做J2EE项目的兄弟们带来点帮助,有任何关于JAVA安全和密码学理论和应用的问题可以来我们的论坛:http://bbssmatrixorg)

近年来，随着互连网和计算机的普及，电子商务和电子政务成为当今社会生活的重要组成部分，以网上订购和网上在线支付的为主要功能的网店系统(Web Shop System)是目前电子商务的热门技术。

JAVA以它“一次编译，处处运行”的神奇魅力和强大的安全技术支持，很快成为WEB信息系统开发的首选语言，而J2EE就是为了WEB应用开发而诞生的。目前J2EE的应用大部份都是多层结构的, 良好的分层可以带来很多好处，例如可以使得代码结构清晰，方便组件复用，可以快速适应应用的新需求。同时，JAVA还提供了强大的安全技术(例如:JCA,HTTPS,JSSA等)。对于电子商务系统而言,系统平台的安全性和效率是其中的核心问题,而这些正好是J2EE及其相关技术的强项。

0 系统中所要使用的API及其特点介绍

该系统中主要使用的技术和特点如下:

(1)EJB :主要是作为J2EE中间层，完成商业逻辑。目前主要有三种类型的EJB: 会话 Bean (Session Bean)、实体Bean (Entity Bean)、消息驱动的Bean（MDB）；

(2)JAAS:在J2EE 中用于处理认证和授权服务，进行资源控制；

(3)JSP和Java Servlets:用于J2EE的表示层，生成用户界面；

(4)JDBC:用于数据库（资源层）的连接和与数据库进行交互；

(5)JNDI:Java命名和目录接口,该API实际上是用来访问J2EE的所有资源；

(6)JMS:Java消息传输服务，配合MDB使用。

1 Session的安全问题与解决方案

在项目中,保存Session一般有两种方法，一是分别放在客户端，一是集中放在服务器端。在客户端保存Session是指将Session的状态串行化，然后嵌入到返回给客户的HTML页面中。当Session中的信息很少时，这样实现比较容易，另外这种方法还消除了跨越多个服务器复制状态的问题。

但是在客户端保存Session状态时，必须考虑到由此带来的安全问题，因为黑客可能通过嗅探攻击（Sniffer）获取敏感信息。为了不让敏感信息数据暴露，解决的方法是对数据进行加密或者使用HTTPS，采用SSL技术。

如果是要保存大量Session状态的应用，最好的方法是将Session状态统一放在服务器端。当状态被保存在服务器上时，不会有客户端Session管理的大小和类型限制。此外，还避免了由此带来的安全问题，而且也不会遇到由于在每个请求间传送Session状态带来的性能影响，但是对服务器的性能要求比较高。网店系统的安全性要求较高，因此Session还是集中放在中间层服务器端,同时对客户端到服务器端采用SSL连接。

2客户端的缓存安全设计

大部分顾客使用的WEB浏览器将浏览过的页面缓存在磁盘上，这样我们浏览网页的时候不需要重新向服务器发出HTTP请求，对于普通的网页不存在安全问题。但是对于需要保密的WEB应用，会带来安全隐患和泄漏隐私，因此对于客户端缓存，也必须做适当的处理。最好的方法就是禁止使用缓存，但是对于大部分顾客而言，要求在客户端不用缓存是不现实的，因此我们必须在中间层解决该问题，方法是采用Servlet过滤器技术。该技术是Servlet23以后才出现的，在J2EE中的应用很广泛。要使用该技术，需要执行以下步骤：

（1） 编写一个Servlet过滤器，实现javaxservletFilter接口；

（2） 修改Webxml文件，使容器知道过滤器在什么时候被调用。

JavaxservletFilter主要有3个方法：

(1)init(FilterConfig cfg) :当开始使用 servlet 过滤器服务时，容器调用此方法一次。传送给此方法的 FilterConfig 参数包含 servlet 过滤器的初始化参数；

(2)destroy() :当不再使用 servlet 过滤器服务时，容器调用此方法；

(3)doFilter(ServletRequest req, ServletResponse res, FilterChain chain): 容器为每个映射至此过滤器的 servlet 请求调用此方法，然后才调用该 servlet 本身。传送至此方法的 FilterChain 参数可用来调用过滤器链中的下一个过滤器。当链中的最后一个过滤器调用 chaindoFilter() 方法时，将运行最初请求的 servlet。因此，所有过滤器都应该调用 chaindoFilter() 方法。如果过滤器代码中的附加认证检查导致故障，则不需要将原始 servlet 实例化。在这种情况下，不需要调用 chaindoFilter() 方法，相反，可将其重定向至其它一些错误页面。

如果 servlet 映射至许多 servlet 过滤器，则按照应用程序的部署描述符（webxml）中的先后出现的次序来调用 servlet 过滤器。这一部分的主要代码如下：

//要引入的类库

import javaxservlet;

import javaxservlethttpHttpServletResponse;

import javaio;

import javasecurity;

//设置servlet过滤代码段

public class CacheFilter implements Filter {

protected FilterConfig filterConfig;

private String cachetp;

//初始化

public void init(FilterConfig filterConfig) throws ServletException

{

thisfilterConfig = filterConfig;

cachetp=configgetInitParameter("CacheControlType");

if (cachetp==null)

{

throw new ServletException("没有定义Cache控制类型");

}

}

//

public void destroy()

{

thisfilterConfig = null;

}

//执行过滤器部分

public void doFilter(ServletRequest request,ServletResponse response,FilterChain chain)

throws IOException, ServletException {

if (response instanceof HttpServletResponse )

{

HttpServletResponse resp=(HttpServletResponse) response;

respaddHeader("Cache-Control",cachetp);

}

else

{

throw new ServletException("非法相应!");

}

chaindoFilter(request, response);

}

}

以下是在Webxml中添加的对应的内容

CacheFilter

CacheFilter

Cache filter

CacheControlType

no-store

CacheFilter

/cachecontrol

3视图访问的安全设置

所有用户都必须登陆，只有登陆才可以看到用户的角色和权限相对应的视图。因此一个重要的问题就是如何防止一个视图或者部分的视图被一个未被授权的客户直接访问。

在一些情况下，资源被限制为完全不允许某些用户访问,例如：管理后台就不应该让普通顾客会员访问。有几个方法可以做到这一点。一个方法是加入应用逻辑到处理控制器或者视图的程序中，禁止某些用户访问。另一个方案是设置运行时的系统，对于一些资源，仅允许经由另一个应用资源内部调用。在这种情形，对于这些资源的访问必须被通过另一个表现层的应用资源进行，例如一个servlet控制器。对于这些受限制的资源不允许通过浏览器直接调用。

在J2EE中，可以利用Web容器中内置的安全技术来进行角色访问资源的控制。根据最新版本的servlet和EJB规范，安全限制在webxml的配置描述文件中描述，我们可以通过配置webxml来控制角色访问，修改配置描述文件webxml就可以达到快速修改安全策略的目的。

安全限制允许使用编程的方法根据用户的角色来控制访问。资源可以被某些角色的用户访问，同时禁止其它的角色访问。另外，某个视图的一部分也可以根据用户的角色来限制其访问。如果某些资源完全不允许来自于浏览器的直接访问，那么这些资源可以配置只允许一些特殊的安全角色访问，而这些安全角色不分配给任何一个用户。这样只要不分配这个安全角色，那么以这种方式配置的资源将禁止所有的浏览器直接访问。下面一个例子就是webxml配置文件的一部分，它定义了一个安全的角色以限制直接的浏览器访问。角色的名字是“vip”，受限制资源的名字是specialgood1jsp、specialgood2jsp、specialgood3jsp和bookinfojsp。除非一个用户或者组被分配到“vip”角色，否则这些客户都不可以直接访问这些JSP页面。不过，由于内部的请求并不受这些安全的限制，一个初始时由某servlet控制器处理的请求将会导向到这些受限制的页面，这样它们就可以间接访问这些JSP页面。

＜security-constraint＞

＜web-resource-collection＞

＜web-resource-name＞specialgood ＜/web-resource-name＞

＜description＞special good infomation＜/description＞

＜url-pattern＞/shop/jsp/a1/specialgood1jsp＜/url-pattern＞

＜url-pattern＞/shop/jsp/a1/specialgood2jsp＜/url-pattern＞

＜url-pattern＞/shop/jsp/a1/specialgood3jsp＜/url-pattern＞

＜url-pattern＞/shop/jsp/a1/bookinfojsp＜/url-pattern＞

＜http-method＞GET＜/http-method＞

＜http-method＞POST＜/http-method＞

＜/web-resource-collection＞

＜auth-constraint＞

＜role-name＞vip＜/role-name＞

＜/auth-constraint＞

＜/security-constraint＞

3 各层次间的耦合问题与解决策略

表现层的数据结构，例如HttpServletRequest，应该被限制在表现层上。如果将这些细节放到其它层(主要是业务逻辑层)中，将大大降低了代码的的重用性，令代码变得复杂，并且增加了层间的耦合。解决方法一个常用方法是不让表现层的数据结构和商业层共享，而是拷贝相关的状态到一个更常见的数据结构中再共享。你也可以选择由表现层数据结构中将相关的状态分离出来，作为独立的参数共享。另外在域对象暴露表现层的数据结构，如果将诸如HttpServletRequest的请求处理数据结构和域对象共享，这样做也会增加了应用中两个不同方面的耦合。域对象应该是可重用的组件，如果它们的实现依赖协议或者层相关的细节，它们可重用性就很差，同时维护和调试高耦合的应用更加困难。成熟的解决方案是不通过传送一个HttpServletRequest对象作为一个参数，而是拷贝request对象的状态到一个更为常用的数据结构中，并且将这个对象共享给域对象。你也可以选择由HttpServletRequest对象中将相关的状态分离出来，并且将每一个的状态作为一个独立的参数提供给域对象。

4 EJB的安全设计与控制

EJB的执行过程一般是这样的：(1)客户端通过JNDI检索Home对象的引用；(2)JNDI返回Home对象的引用；(3)请求创建一个新的EJB对象；(4)创建EJB对象；(5)返回EJB对象；(6)调用商务方法；(7)调用Enterprise Bean引起EJB的安全问题原因主要存在三个方面:

(1)用包嗅探器(Packet Sniffer)获取用户凭证信息并直接调用会话Bean；（2）对实体Bean进行未授权访问；（3）对消息驱动的Bean的无效访问(发布恶意或者虚假的消息)

以上安全问题可导致客户端或者服务端欺骗攻击和DDOS攻击。解决问题(1)的方法是使用JAVA中SSL技术来保护通讯，解决(2)的方法是对于实体Bean全部采用本地接口或者采用JAAS(文献[1])，对于(1)和(2)，我们可以同时采取以下措施：让容器完成认证并传输用户凭证信息,另外使用声明性或者程序设计的安全验证角色。对于问题(3),J2EE并没有提供一个很好的方案，我们的解决方案是采用数字签名技术来保证信息来自可信任的源。该方法的结合代码简要说明如下,消息采用JMS传递：

//客户端，要用到消息发送者的私钥进行签名

messagesetString("userid",userid);

messagesetString("useritem",useritem);

messagesetInt("usersn",serialnum);//包含一个序列号

messagesetString("usercertid",certid);

String signature=getSignature(userid+":"+useritem+":"+serialnum+":"+certid);

//进行签名,其中getSignature为签名函数，要用到消息发送者的私钥进行签名，具体密码学技术可参考文献[2]；

messagesetString("signature",signature);

sendmessage(message);//发送信息

//服务器端

String checkstr=userid+":"+messagegetString("useritem")+":"+

messagegetInt("usersn")+":"+usercertid;

boolean b_check=checkSignature(checkstr,msggetString("signature"),

usercertid,userid);

//进行验证,其中checkSignature为验证函数，要用到消息发送者的公钥进行验证，具体密码学技术可参考文献[2]；

5 CA中心与证书的生成

前面我们已经提出在客户端要使用HTTPS和SSL,因此要建立一个自己的CA中心来管理分发证书,加强客户端到中间层服务器端通讯的安全性建立CA中心的第一步是利用JAVA工具包中的Keytool生成一个X509证书,然后将该证书交由权威CA中心Vertsign签名,再将该证书设置为根证书,建立自己的CA每次有新用户注册交易的时候，都必须签发一个用户独一无二的证书，关键的过程是如何签发证书签发证书的过程如下：

(1)从中间层CA服务器的密钥库中读取CA的证书：

FileInputStream in=new FileInputStream(ShopCAstorename);

KeyStore ks=KeyStoregetInstance("JKS");

ksload(in,storepass);

javasecuritycertCertificate c1=ksgetCertificate(alias);

(2)获得CA的私钥：

PrivateKey caprk=(PrivateKey)ksgetKey(alias,cakeypass);

(3)从CA的证书中提取签发者信息：

byte[] encod1=c1getEncoded();

X509CertImpl shopcimp1=new X509CertImpl(encod1);

X509CertInfo shopcinfo1=(X509CertInfo)shopcimp1get(X509CertImplNAME+

""+X509CertImplINFO);

X500Name issuer=(X500Name)shopcinfo1get(X509CertInfoSUBJECT+

""+CertificateIssuerNameDN_NAME);

(4)获取待签发的证书相关信息，与（3）类似；

(5)设置新证书的有效期、序列号、签发者和签名算法：

//设置新证书有效期为1年

Date begindate =new Date();

Date enddate =new Date(begindategetTime()+300024360601000L); CertificateValidity cv=new CertificateValidity(begindate,enddate);

cinfo2set(X509CertInfoVALIDITY,cv);

//设置新证书序列号

int sn=(int)(begindategetTime()/1000);

CertificateSerialNumber csn=new CertificateSerialNumber(sn);

cinfo2set(X509CertInfoSERIAL_NUMBER,csn);

//设置新证书签发者

cinfo2set(X509CertInfoISSUER+""+

CertificateIssuerNameDN_NAME,issuer);

//设置新证书算法

AlgorithmId algorithm =

new AlgorithmId(AlgorithmIdmd5WithRSAEncryption_oid);

cinfo2set(CertificateAlgorithmIdNAME+

""+CertificateAlgorithmIdALGORITHM, algorithm);

(6)创建证书并签发：

// 创建证书

X509CertImpl newcert=new X509CertImpl(cinfo2);

// 签名

newcertsign(caprk,"MD5WithRSA");

(7)将新证书提供给注册用户，并提示安装,一般的做法是在用户注册成功后系统立即返回一个证书对象给中间层某个Servlet，由其返回给用户。

参考文献

[1]沈耀,陈昊鹏,李新颜EJB容器中基于JAAS 的安全机制的实现[J]:计算机应用与软件 20049 16~18

[2](美)Jess Garms著，庞南等译 Java安全性编程指南[M]北京:电子工业出版社 2002

[3] http://javasuncom/j2ee/

[4] 蔡剑,景楠 Java 网络程序设计：J2EE（含14最新功能）[M]北京: 清华大学出版社 2003

[5](美)John Bell Tony Loton Java Servlets 23编程指南[M]北京: 电子工业出版社 2002

[6](美)Joseph JBambara等著,刘堃等译 J2EE技术内幕[M]北京:机械工业出版社 2002

[7](美)Li Gong著JAVA 2平台安全技术——结构、API设计和实现[M]北京: 机械工业出版社 2000

[8](英)Danny Ayers等著,曾国平等译 Java服务器高级编程[M]北京：机械工业出版社 2005

[9]http://wwwsmatrixorg/bbs

[10]http://wwwsmatrixcn/bbs