not - tomcat 8 https

Error SSL de TOMCAT: el nombre del alias no identifica una entrada clave

Question

Estoy intentando configurar Tomcat 6 utilizando SSL con un certificado que nos haya proporcionado (alguien). Mi experiencia con SSL solo dura unos días, pero aún tengo que configurar lo maldito.

Me proporcionaron un certificado (descargado de IE) en formato DER.

Luego, creé un keystore:

keytool -import -alias btIEgen -file MyCompany.der -keystore b2b.keystore

Digamos que usé "contraseña" para contraseña

Configuré esto en server.xml de Tomcat en la sección SSL:

<Connector port="8443" protocol="HTTP/1.1" SSLEnabled="true"
maxThreads="150" scheme="https" secure="true"
keystoreFile="webapps/b2b.keystore" keystorePass="password" keyAlias="btIEgen"
clientAuth="false" sslProtocol="TLS" />

Al iniciar Tomcat, recibo el maldito error.

Luego hice una keytool -list en b2b.keystore, y noté que el alias está en minúsculas, así que después de actualizar server.xml y reiniciar, sigo recibiendo el mismo error, pero para el alias de minúsculas.

Entonces pensé que tal vez necesito una CA raíz. Así que recreé el b2b.keystore de la siguiente manera:

keytool -import -alias root -file myCA.cer -keystore b2b.keystore

Luego volví a ejecutar mi comando keytool contra MyCompany.der

Pero sigo teniendo el mismo error, que el alias no identifica una entrada clave.

Me pregunto si estoy cometiendo algún error fundamental al configurar Tomcat, o si esto está funcionando y estoy cometiendo un error estúpido y descuidado.

Cualquier orientación sería muy apreciada.

Answer 1

Lo que Tomcat necesita es el certificado y su clave privada. El certificado es información pública que cualquiera de sus usuarios puede ver, pero la clave privada debe ser solo suya: esto es lo que impide que otros ejecuten un sitio web con su certificado. Al importar MyCompany.der , solo está importando el certificado.

Debería encontrar dónde está su clave privada primero. (Normalmente, incluso la persona que le emitió el certificado no debe conocer su clave privada).

La clave privada puede haberse generado dentro de su navegador durante el proceso de solicitud del certificado. Intente ver si puede exportar en .p12 / .pfx (PKCS # 12): esto también debe incluir la clave privada si está allí. Si es así, debería poder utilizar el archivo resultante como un almacén de claves directamente utilizando el tipo de tienda PKCS12 : keystoreFile="store.pfx" keystorePass="password" keystoreType="PKCS12" (probablemente no necesitará un alias de clave, ya que solo habrá una entrada clave).