《证书开发套件》用户手册

证书开发套件

用

户

手

册

四川省数字证书认证管理中心有限公司Sichuan Digital Certificate Authority Co.,Ltd.

2008年3月

目录

1所涉及的产品名称及版本 (3)

2数字证书身份认证 (3)

2.1数据传输加密 (3)

2.2SSL双向认证 (4)

2.3用数字签名来实现数字证书身份认证（SSL双向认证的替代方案） (6)

3证书开发套件 (7)

3.1PTA (8)

3.1.1PTA安装 (8)

3.1.2对象模型 (8)

3.1.3创建PTA对象实例 (8)

3.1.4iTrusPTA对象与属性 (9)

3.2iTrusJavaCertAPI (12)

3.2.1应用iTrusJavaCertAPI (13)

3.2.2证书验证模块（Certificate Validation Module） (13)

3.2.3签名验证模块（Signature Verifying Module） (16)

3.2.4证书解析模块（Certificate Parsering Module） (17)

3.3数字证书身份认证应用场景 (17)

3.3.1CertLogonWebDemo目录及文件说明 (18)

3.3.2配置WebServer支持SSL双向认证 (19)

3.3.3部署CertLogonWebDemo (27)

4参考文档 (27)

1所涉及的产品名称及版本

2数字证书身份认证

2.1 数据传输加密

我们所指的数据加密是指的传输过程加密。而对于B/S架构的应用系统我们是依赖SSL 加密技术来实现的。

什么是SSL加密技术？

为了保护敏感数据在传送过程中的安全，全球许多知名企业采用SSL（Security Socket Layer）加密机制。SSL是Netscape公司所提出的安全保密协议，在浏览器（如Internet Explorer、Netscape Navigator、Firefox等）和Web服务器（如Apache、Tomcat、IIS等等）之间构造安全通道来进行数据传输，SSL运行在TCP/IP层之上、应用层之下，为应用程序提供加密数据通道，它采用了RC4、MD5 以及RSA等加密算法，使用40位/128位的密钥，适用于商业信息的加密。同时，Netscape公司相应开发了HTTPS协议并内置于其浏览器中，HTTPS实际上就是SSL over HTTP，它使用默认端口443，而不是像HTTP那样使用端口80来和TCP/IP进行通信。HTTPS协议使用SSL在发送方把原始数据进行加密，然后在接受方进行解密，加密和解密需要发送方和接受方通过交换共知的密钥来实现，因此，所传送的数据不容易被网络黑客截获和解密。

为使SSL 发挥作用，必须在Web 服务器上安装由某个证书颁发机构签发的SSL证书。此后才可以将SSL用于加密浏览器与Web服务器之间的数据传输（保护SSL事务）。浏览器通过HTTP改变为HTTPS并显示一个小锁符号，来指示用SSL加密的会话。网站访问者可单击该锁符号来查看SSL 证书。

一个网站的服务器证书一方面为加密传输发挥作用，另一方面代表了网站的身份，可以防止被DNS劫持和域名假冒。

要实现SSL加密传输的功能并不复杂，主流WEB服务器几乎都提供了对SSL加密传输良好的支持。如需相关方面的配置资料，可以参考：

Apache 2.x: https://www.360docs.net/doc/3011692904.html,/docs/2.0/ssl/

Tomcat 5.x: https://www.360docs.net/doc/3011692904.html,/tomcat-5.0-doc/ssl-howto.html

Microsoft IIS6:

https://www.360docs.net/doc/3011692904.html,/technet/prodtechnol/WindowsServer2003/Library/IIS/d6dd7932-909c-423b-8bf7-868c5ae4c694.mspx?mfr=true

2.2 SSL 双向认证

为了便于更好的认识和理解 SSL 协议，这里着重介绍 SSL 协议的握手协议。SSL 协议既用到了公钥加密技术又用到了对称加密技术，对称加密技术虽然比公钥加密技术的速度快，可是公钥加密技术提供了更好的身份认证技术。SSL 的握手协议非常有效的让客户和服务器之间完成相互之间的身份认证，其主要过程如下：

① 客户端的浏览器向服务器传送客户端 SSL 协议的版本号，加密算法的种类，产生

的随机数，以及其他服务器和客户端之间通讯所需要的各种信息。

② 服务器向客户端传送 SSL 协议的版本号，加密算法的种类，随机数以及其他相关

信息，同时服务器还将向客户端传送自己的证书。

③ 客户利用服务器传过来的信息验证服务器的合法性，服务器的合法性包括：

证书是否过期？发行服务器证书的 CA 是否可靠？发行者证书的公钥能否正确解开服务器证书的“发行者的数字签名”？服务器证书上的域名是否和服务器的实际域名相

匹配？

如果合法性验证通过，将继续进行第④步；如果浏览器检查到以上任意一项有问题，就会给客户一个安全警报，询问客户是否需要继续。下图是用户使用IE 浏览器访

问一个有问题的SSL 站点时，所弹出的安全警报窗口。

如果用户点击“否(N)”，合法性验证失败将导致通讯断开；如果用户点击“是(Y)”忽略这个安全问题，将继续进行第四步。

④ 用户端随机产生一个用于后面通讯的“对称密码”，然后用服务器的公钥（服务器

的公钥从步骤②中的服务器的证书中获得）对其加密，然后将加密后的“预主密码”

传给服务器。

⑤ 由于是SSL

双向认证，服务器会主动把发证机构的CA 证书发送给客户端，客户

端浏览器根据服务器提供的CA

证书列出满足要求的用户证书。下图是用户使用IE

浏览器访问一个双向SSL 站点时，所弹出的“选择数字证书”窗口。

当用户选定其中一张并确认后，浏览器将建立一个随机数然并自动调用所选用户数字证书对其进行数字签名，将这个含有签名的随机数、用户数字证书以及加密过的“预主密码”一起传给服务器。

⑥服务器会检验客户证书和签名随机数的合法性，具体的合法性验证过程包括：客户

的证书使用日期是否有效？为客户提供证书的CA 是否可靠？发行CA 的公钥

能否正确解开客户证书的发行CA 的数字签名？检查客户的数字证书是否被吊

销？（实际工作中，我们发现除了IIS会自动检查证书吊销列表，其他Web服务

器，诸如：Apache、Tomcat、Weblogic等都不会主动检查CRL或者检查功能有

限）检验如果没有通过，通讯立刻中断；如果验证通过，服务器将用自己的私钥解

开加密的“预主密码”，然后执行一系列步骤来产生主通讯密码（客户端也将通过

同样的方法产生相同的主通讯密码）。

⑦服务器和客户端用相同的主密码即“通话密码”，一个对称密钥用于SSL 协议的

安全数据通讯的加解密通讯。同时在SSL 通讯过程中还要完成数据通讯的完整

性，防止数据通讯中的任何变化。

⑧客户端向服务器端发出信息，指明后面的数据通讯将使用的步骤⑦中的主密码为对

称密钥，同时通知服务器客户端的握手过程结束。

⑨服务器向客户端发出信息，指明后面的数据通讯将使用的步骤⑦中的主密码为对称

密钥，同时通知客户端服务器端的握手过程结束。

⑩SSL 的握手部分结束，SSL 安全通道的数据通讯开始，客户和服务器开始使用相同的对称密钥进行数据通讯，同时进行通讯完整性的检验。

上面所述的是双向认证SSL 协议的具体通讯过程，这种情况要求服务器和用户双方都有证书。单向认证SSL 协议不需要客户拥有数字证书，具体的过程相对于上面的步骤，只需将服务器端验证客户证书的过程（步骤⑤、⑥）去掉，以及在协商对称密码方案，对称通话密钥时，服务器发送给客户的是没有加过密的（这并不影响SSL 过程的安全性）密码方案。这样，双方具体的通讯内容，就是加过密的数据，如果有第三方攻击，获得的只是加密的数据，第三方要获得有用的信息，就需要对加密的数据进行解密，这时候的安全就依赖于密码方案的安全。而幸运的是，目前所用的密码方案，只要通讯密钥长度足够的长，就足够的安全。这也是我们强调要求使用128 位加密通讯的原因。

请注意第⑥步骤中，提到除了微软的IIS，其他大多数WEB服务器都不会承担检查CRL 的任务，也就是说大多数WEB服务器只能验证证书的合法性（是否是合法机构颁发？），时效性（是否过期？），但是不能验证证书的有效性（是否被吊销？）。

一、什么是CRL？

证书注销列表(Certificate Revocation List，简称CRL)，是一种包含注销的证书列表的签名数据结构。CRL是证书注销状态的公布形式，CRL就像信用卡的黑名单，它通知大家某些电子证书不再有效。

二、为什么要吊销证书？

当数字证书在有效期内出现损坏、丢失、被盗等原因无法继续使用时，您需要终止该证书的有效性，从而保障自身利益不被侵害。

吊销证书的目的是为了使损坏、丢失尤其是被盗的证书不再继续使用。否则，当用户重新申领了一张新的数字证书后，原证书和新证书都可以继续使用，由此可见，服务端忽略验证证书的有效性是一个严重的安全漏洞。

那么如何来验证证书的有效性呢？我们将在后面的“证书开发套件”中“证书验证模块”一节中进行介绍。

2.3 用数字签名来实现数字证书身份认证（SSL双向认证的

替代方案）

由于传统的SSL双向认证方式在用户访问网站的一开始就要求客户端出示数字证书，如果没有数字证书，将被禁止访问网站的任何内容。这样用户无法从所访问的网站上了解到被拒绝的原因。为了提高用户体验，简化使用证书步骤，我们还提供另一种比较友好的方式实现证书登陆。

这种方式仅在WEB服务器上配置服务器证书，采用SSL加密通道传输数据，但不要求验证客户端证书。用户在浏览器输入网址，将首先访问网站的默认页面，例如index.jsp。该页面调用iTrusPTA（基于COM的ActiveX组件，后面有详细介绍）列出用户计算机上所安装的证书，让用户选择证书进行登录。当用户点击登录按钮后，PTA使用用户选择的证书对一段随机数进行签名，并以表单的方式提交到服务端进行处理。服务端对该签名字串和随机数进行签名验证，一旦验证通过，将获得签名证书的X509Certificate对象。然后再调用SVM/ CVM/SVM对证书进行有效性验证，最后解析证书，实现证书登陆的功能。

具体登录流程如下：

3证书开发套件

我们从证书开发套件中提取出几个常用的接口，提供给用户实现证书应用集成的功能，主要包括：

3.1 PTA

PTA （P ersonal T rust A gent ）是完成对windows 平台证书操作的COM 控件，利用控件提供的接口，可以设置系统证书列表的过滤条件，显示证书的各种属性，使用证书对字符串签名验证，以及对数据加密解密。

CLISID ：1E0DFFCF-27FF-4574-849B-55007349FEDA

3.1.1 PTA 安装

当PTA 运行于IE 客户端时，不需要手工安装。只需在网页内嵌入控件即可。如果客户端不是IE ，则需要将PTA.dll 解压到系统目录下，并在系统目录下运行regsvr32 PTA.dll 命令。

3.1.2 对象模型

iTrusPTA COM

组件的对象模型如下图所示：

3.1.3

创建

PTA 对象实例

在您页面

HTML 源码的之间加入

CertFilter

Certificates Certificate

即为您的页面创建了一个名称为iTrusPTA的对象实例。

3.1.4iTrusPTA对象与属性

(一) 证书过滤

系统中可能存储着大量证书，用户进行特定的邮件或交易操作时，可能只对部分的证书感兴趣，使用PTA的证书过滤条件可以方便的选择用户希望的证书。该接口提供三个属性设置过滤条件

1)Subject：根据证书的主题过滤证书；

2)Issuer：根据证书的颁发者主题过滤证书；

3)SerialNumber：根据证书的序列号过滤证书。

VBScript代码如下：

Set CertFilter = iTrusPTA.Filter

CertFilter.Subject = "O=四川省数字证书认证管理中心有限公司, OU=SCEGB CA, CN=四川某某实业有限公司, SN=12345678-0, E=service@https://www.360docs.net/doc/3011692904.html,, OU=NO.1:1234567890123" CertFilter.Issuer = "C=CN, O=四川省数字证书认证管理中心有限公司, OU=China Trust Network, OU=Terms of use at https://https://www.360docs.net/doc/3011692904.html,/ctnrpa (c)2008, OU=Class 2 Enterprise Individual Subscriber CA, CN=SCEGB CA"

CertFilter.SerialNumber = "3b21c4dddaf69783e8d8ae16e3c573469b5b0800"

一般根据Issuer可以过滤只属于您企业的用户数字证书，而根据Subject和SerialNumber则可以唯一确定一张用户数字证书。

(二) 返回证书集合并选择特定证书

返回证书集合的VBScript代码如下：

Set Certs = iTrusPTA.MyCertificates

完成该操作后，Certs为满足过滤条件的所有个人证书集合（在后续文档中将使用Certs 表示证书集合）。

返回特定证书对象的VBScript代码如下：

Set CurCert = Certs(i)

其中i表示要选择的证书序号，CurCert是所选的Certificate对象。（在后续文档中将使用CurCert表示用户选择的当前证书）

另外，iTrusPTA.MyCertfificates返回的是带有私钥的“个人”证书，如需返回“其他人”、“中级证书颁发机构”、“受信任的根证书颁发机构”所存储的不带私钥的数字证书，可分别调用

Set OtherCerts = iTrusPTA.OtherCertificates

Set CACerts = iTrusPTA.CACertificates

Set RootCerts = iTrusPTA.RootCertificates

(三) 通过Certificate对象访问证书的属性

在选择了当前证书后可利用对象提供的各种功能获得数字证书的属性，例如：

?证书通用名：CurCert. CommonName

?证书主题：CurCert.Subject

?颁发者主题：CurCert.Issuer

?证书CSP：CurCert.CSP

?秘钥容器：CurCert.KeyContainer

?证书序列号：CurCert.SerialNumber

?颁发日期：CurCert.ValidFrom

?过期日期：CurCert.ValidTo

?证书功能：CurCert.KeyUsage（证书是用于签名还是加密）

?证书编码：CurCert.GetEncodedCert([enc As 0, 1, 2]) As String

enc: 0=DER, 1=PEM, 2=BASE64

?CRL验证：CurCert.Verify([checkCRL As Long]) As Long

checkCRL: 0=NO, 1=YES; 返回值: 0=有效，其它整数=无效

?查看证书：CurCert.View

(四) 使用Certificate对象进行数字签名：

使用数字证书进行数字签名的VBScript代码如下：

signedData = CurCert.SignMessage(originalText, outputOpt)

其中：

originalText：为待签名的数据。

signOpt：为签名选项，规定输入和输出的数据格式。

signedData：为函数返回的PKCS7格式签名数据。

目前PTA支持两种格式的签名数据（输出）：

outputOpt = 0x04 表示BASE64编码

outputOpt = 0x08 表示16进制字符串编码

注意：

1、可以进行数字签名的证书必须拥有数字证书的私钥，手工导入到Windows密钥库

“个人”证书的.cer证书不可以进行数字签名

2、PTA 2.0版本出于安全考虑，调用SignMessage方法时会弹出签名确认的窗口，而

PTA 1.0版本则不会。弹出窗口如下图所示：

(五) 验证数字签名

验证数字签名的VBScript代码如下：

Set SignerCert=iTrusPTA.VerifySignature(originalText, signedData, inputOpt)

其中：

originalText：为待签名的数据。

signedData：为函数返回的PKCS7格式签名数据。

inputOpt：为签名选项，规定输入和输出的数据格式。

SignerCert：为签名证书的Certificate对象，验证成功方可返回对象；如果验证失败则抛出异常，异常代码为0x80090006

目前PTA支持两种格式的签名数据（输入）：

inputOpt = 0x01 表示BASE64编码

inputOpt = 0x02 表示16进制字符串编码

(六) 加密数据

使用数字证书加密的VBScript代码如下：

encryptedData = CurCert.EncryptMessage(originalText, outputOpt)

其中：

originalText：为被加密的数据。

outputOpt：为加密选项，规定输入和输出的数据格式。

encryptedData：为加密方法返回的加密数据。

目前PTA支持两种格式的加密数据（输出）：

outputOpt = 0x04 表示BASE64编码

outputOpt = 0x08 表示16进制字符串编码

注意：

1、PTA加密数据所使用的数字证书无需存在与之对应的私钥；

2、PTA加密数据长度有限，只能支持大约小于200K的字符串

(七) 解密数据

使用数字证书解密的VBScript代码如下：

originalText = iTrusPTA.DecryptMessage(encryptedData, inputOpt)

其中：

encryptedData：为加密方法返回的加密数据。

inputOpt：为加密选项，规定输入和输出的数据格式。

originalText：为被加密的数据。

目前PTA支持两种格式的加密数据（输入）：

inputOpt = 0x01 表示BASE64编码

inputOpt = 0x02 表示16进制字符串编码

注意：

1、PTA解密数据的Windows的“个人”证书里必须存在加密者证书

2、PTA会自动寻找加密者证书

3.2 iTrusJavaCertAPI

iTrusJavaCertAPI-2.5-beta3.jar（目前最新版本2.5）可运行于Java Runtime Environment 1.4

or 1.5。主要包括：

1)证书验证模块CVM（Certificate Validation Module）

2)签名验证模块SVM（Signature Verifying Module）

签名验证模块

3)证书解析模块CPM（Certificate Parsering Module）

在iTrusCertAPI-2.5版本中，CPM模块已经被证书解析工具类等com.itrus.cert.X509Certificate的getSubjectNames和getIssuerNames所替代。

3.2.1应用iTrusJavaCertAPI

在Java的Web应用程序中应用iTrusJavaCertAPI，只需将iTrusJavaCertAPI-2.5-beta3.jar 及其所依赖的bcmail-jdk14-137.jar、bcprov-jdk14-137.jar、commons-logging-1.0.4.jar、log4j-1.2.12.jar拷贝到YourWebApp/WEB-INF/lib目录下即可。

3.2.2证书验证模块（Certificate Validation Module）

(一) 特点

1、缓存CRL直到CRL过期，有效的保证系统运行效率；

2、支持对多个CA；

3、当CRL更新失败时，使用最近一次CRL来验证证书的有效性；

4、提供可配置的CRL下载重试策略，系统内有且仅一个CRL下载线程开销；

5、支持从HTTP站点和LDAP服务器下载CRL；

6、支持SUN公司和IBM公司生产的JDK。

(二) CVM 初始化与静态证书验证方法

//CVM.verifyCertificate 返回的状态码说明：

package com.itrus.cvm;

public interface CertificateStatus {

public final int CVM_INIT_ERROR = -1;

public final int VALID = 0;// 正常

public final int EXPIRED = 1;// 过期但没有被吊销过

public final int REVOKED = 2;// 已吊销但还没有过期

public final int UNKNOWN_ISSUER = 3;// 不是系统所支持的CA 所颁发

public final int ILLEGAL_ISSUER = 4;// 非法CA 所颁发证书

public final int CRL_UNAVAILABLE = 5;// 没有可供查询的CRL

public final int REVOKED_AND_EXPIRED = 6;// 过期而且被吊销 public final int UNKNOWN_STATUS = 7;

}

iTrusJavaCertAPI 自2.5版开始给CVM 类加入

public static void

addSupportCA(X509Certificate cACert, String cRLURL, String strRetryPolicy, boolean notCheckCRL) throws IOException, CertificateException, NoSuchProviderException

public static void addSupportCA(String cAFileName, String cRLURL,

String strRetryPolicy, boolean notCheckCRL) throws IOException, CertificateException, NoSuchProviderException

可用于动态初始化CVM。

(三) CVM配置文件（cvm.xml）

一般将CVM的配置文件放置在WEB-INF目录下，名称为CVMConfig.xml。CVMConfig.xml文件内容：

60,300,3600

true

https://www.360docs.net/doc/3011692904.html,/cgi-bin/itruscrl.do?CA=BB439E2F91A9667 599B1ED34946B04824D361E03

cafiles/SCEGB.cer

60,300,3600

true

https://www.360docs.net/doc/3011692904.html,/cgi-bin/itruscrl.do?CA=B06855263F121C8 2A25F1D583FDF58DD9549C29D

cafiles/SCEG.cer

其中，中所指文件路径是相对于cvm.xml。

3.2.3签名验证模块（Signature Verifying Module）

SVM的使用方法：

/* 调用签名验证模块，目的一是判断数据是否被篡改，目的二是确认谁对数据签了名。 */ try {

X509Certificate cert = SVM.verifySignature(toSign, signedData);

System.out.println("签名验证成功。签名证书为["

+ cert.getSubjectDN().getName() + "]");

} catch (SignatureVeriException e) {

System.out.println("签名验证失败。原文已遭篡改。" + e.getMessage()); } catch (CryptoException e) {

System.out.println("签名验证失败。" + e.getMessage());

}

/* 调用签名验证模块后，建议立即调用CVM模块对签名证书进行验证。

即验证该证书是否是由合法机构颁发（证书也有可能伪造）和是否有效（证书也有可能因丢失私钥而吊销）。 */

3.2.4证书解析模块（Certificate Parsering Module）

CPM的替代品——用com.itrus.cert.X509Certificate类来处理

//解析证书主题的方法如下，解析证书发行者主题方法类似

//x509cert是java.security.cert.X509Certificate实例

com.itrus.cert.X509Certificate cert =

com.itrus.cert.X509Certificate.getInstance(x509cert);

Names certNames = cert.getSubjectNames();

//cert是com.itrus.cert.X509Certificate的实例

commonName = certNames.getItem("CN");

System.out.println("取证书主题单个属性CN=" + commonName + "
"); System.out.println("证书主题分解如下：
");

for (Enumeration e = certNames.keys(); e.hasMoreElements();) { String key = (String) e.nextElement();

Vector values = certNames.getItems(key);

for (int i = 0; i < values.size(); i++) {

System.out.println(key + "=" + values.elementAt(i));

}

}

详细使用方法请继续阅读《3.3 数字证书身份认证应用场景》，并参考CertLogonWebDemo。

3.3 数字证书身份认证应用场景

为了更好的说明数字证书身份认证的应用场景，我们提供了CertLogonWebDemo的Web 应用程序来说明SSL双向认证和签名登陆数字证书身份认证。

用于演示身份认证的数字证书是30天免费体验数字证书，您可以访问下面的地址，免费申请：

https://www.360docs.net/doc/3011692904.html,/scca-user

3.3.1 CertLogonWebDemo 目录及文件说明

index.jsp ： CertLogonWebDemo 的默认页面，演示了SSL 双向认证下如何调用CVM 模块补充验证证书的有效性及如何使用解析并提取提取数字证书的SubjectDN

certLogon.jsp ： 演示了签名登陆数字证书身份认证下如何使用PTA 过滤“个人”证书库中的用户证书，并使用证书签名登陆

doCertLogon.jsp ： 演示了如何处理certLogon.jsp 提交过来的数据，并调用SVM 模块验证签名，提取签名证书，并继续调用CVM 模块验证证书的有效性、解析证书等。 signMessage.html ：演示了如何对字符串进行数字签名

verifySignature.jsp

：演示了服务端如何调用SVM 模块进行数字签名验证、证书验证等

[WEB-INF]\[js]\pta.js ：

pta.js 是以Javascript 来调用PTA 的JS 脚本文件，其中封装了大多数调用PTA 的函数，

用户可以直接使用。

[WEB-INF]\[classes]\AutoConfig.class：

自动初始化CVM的servlet，在web.xml中配置为服务启动时运行，请参考web.xml文件。AutoConfig.java是AutoConfig.class的源文件。

[WEB-INF]\cvm.xml：

AutoConfig.class在启动时会自动调用CVM.config(configFilePath)来读取cvm.xml文件进行初始化，CVM如果没有使用CVM.config进行初始化，在调用verifyCertificate函数时，会自动寻找WEB-INF目录下的cvm.xml并初始化。除此之外，CVM还可以使用addSupportCA的方法进行初始化。sslloginweb所提供的cvm.xml配置了免费60天用户体验证书和VeriSgin Class1免费60天邮件证书，可申请这两类证书演示证书身份认证。[WEB-INF]\[cafiles]\ itrus-xp-userca.cer、itrus-xp-userca.crl、verisign-free60.cer、verisgin-free60.crl、rwe.cer、rwe.crl

[cafiles]目录下的itrus-xp-userca.cer、itrus-xp-userca.crl分别是60天免费用户体验证书，verisign-free60.cer、verisgin-free60.crl分别是VeriSign Class1 60天免费邮件证书的颁发者CA 证书文件和CRL文件，rwe.cer和rwe.crl是一个发布crl到LDAP的CA证书和CRL文件，配置该可以演示如何从LDAP更新CRL。

3.3.2配置WebServer支持SSL双向认证

如需演示SSL双向认证，必须对您的Java WebServer进行配置。为了演示使用60天免费用户体验证书和VeriSign Class1 60天免费邮件证书，我们特别制作了一个itrus-xp-keystore.jks文件，打包在itrus-xp-keystore.zip压缩包中。

itrus-xp-keystore.jks的storepass和服务器证书的私钥密码都是“password”，服务器证书的别名是“webserver”。

注意：

1、有关制作包含服务器证书的keystore文件和如何申请服务器证

书，本文出于篇幅所限不做具体说明，请参考我们提供的相关文档；

2、如果您只想演示“签名登陆数字证书身份认证”，只需要部署

CertLogonWebDemo应用程序即可，SSL双向认证配置不是必需

的；

3、下面所提供的配置Tomcat、WebLogic、WebSphere支持SSL双

向认证均以itrus-xp-keystore.jks为例，请自行修改与配置

itrus-xp-keystore.jks不符的地方；

4、对于商业软件产品WebLogic和WebShpere，请以BEA和IBM公

司的产品文档为准，本文仅供参考。

(一) 配置Tomcat5.0.28支持SSL双向认证

您可以直接使用itrus-xp-keystore.zip里的server.xml和itrus-xp-keystore.jks，只需复制两个文件到您的jakarta-tomcat-5.0.28下的conf目录就可以，注意server.xml是要覆盖原文件的。

或者，您还可以自行修改server.xml文件，作如下修改：

maxThreads="150" minSpareThreads="25" maxSpareThreads="75"

enableLookups="false" disableUploadTimeout="true"

acceptCount="100" debug="0" scheme="https" secure="true"

clientAuth="true" sslProtocol="TLS"

keystoreFile="conf/itrus-xp-keystore.jks"

keystorePass="password" keystoreType="JKS"

truststoreFile="conf/itrus-xp-keystore.jks"

truststorePass="password" truststoreType="JKS"

/>

itrus-xp-keystore.jks所使用的服务器证书域名为“localhost”，如您需要更多的服务器证书体验，请上https://www.360docs.net/doc/3011692904.html,/server-en申请，并与四川CA技术部相关人员联系为您批准。

(二) 配置WebLogic8.1支持双向SSL认证

①打开SSL端口

展开左边树形目录，选择新建的服务“myserver”。

选择“General”面板