使用签名证书部署自SSL非常不安全

使用署名证书

署名证书可以提供比自署名证书更精密的服务器验证。您只能在客户端与代理之间实现署名证书，而不能在聚集中的多个代理之间实现署名证书。除了上面介绍的设置自署名证书的步骤外，使用署名证书还需要其他一些步骤（见下文）。以下各节更具体地介绍了这些步骤。

使用署名证书

在密钥库中安装证书。

设置 Message Queue 客户端，使其在与代理创建基于 SSL 的连接时请求署名证书。

获取和安装署名证书

以下過逞说明怎样获取和安装署名证书。

获取署名证书

1. 使用 J2SE keytool 下令为上一节中天生的自署名证书天生一个证书署名请求 (Certificate Signing Request, CSR)。

   有关 keytool 下令的信息，可以参考

   http://java.sun.com/j2se/1.5.0/docs/tooldocs/solaris/keytool.html

   下面是一个示例：

   
   

   keytool -certreq -keyalg RSA -alias imq -file certreq.csr -keystore /etc/imq/keystore -storepass myStorePassword

   这将天生一个 CSR，它将证书封装到指定的文件中（本例中是文件 certreq.csr ）。

2. 使用 CSR 天生或请求署名证书。

   您可以通过以下两种方法之一完成：

   由众所周知的证书颁发机构 (Certificate Authority, CA) 签订证书，如 Thawte 或 Verisign。有关怎样操作的具体信息，请拜见 CA 的文档。

   • 使用 SSL 署名软件包亲身对质书进行署名。

     最终的署名证书是一个 ASCII 字符序列。假如从 CA 收到署名证书，它大概是电子邮件附件或消息文本。

3. 将署名证书保存到文件中。

   以下说明使用示例名 broker.cer 来表现代理证书。

安装署名证书

1. 检察 J2SE 是否默认支持您的证书颁发机构。

   此下令列出系统密钥库中的根 CA：

   keytool -v -list -keystore $JAVA_HOME/lib/security/cacerts

   假如您的 CA 已列出，请跳过下一步。

2. 假如 J2SE 不支持您的证书颁发机构，请将 CA 的根证书导入到 Message Queue 密钥库中。

   下面是一个示例：

   keytool -import -alias ca -file ca.cer -noprompt -trustcacerts -keystore /etc/imq/keystore -storepass myStorePassword

   此中 ca.cer 是包含从 CA 获取的根证书的文件。

   假如您使用的是 CA 测试证书，则大概需要导入测试 CA 根证书。您的 CA 应提供有关怎样获取副本的说明。

3. 将署名证书导入到密钥库中以更换原来的自署名证书。

   下面是一个示例：

   keytool -import -alias imq -file broker.cer -noprompt -trustcacerts -keystore /etc/imq/keystore -storepass myStorePassword

   此中 broker.cer 是包含从 CA 收到的署名证书的文件。

   Message Queue 密钥库如今包含一个用于 SSL 连接的署名证书。

设置 Message Queue 客户端运行时环境以请求署名证书

如今，您必须将 Message Queue 客户端运行时环境设置为请求署名证书，并确保客户端信托对该证书进行署名的证书颁发机构。

要设置客户端运行时环境以请求署名证书

1. 将连接工场的 imqSSLIsHostTrusted 属性设置为 false 。

   默认环境下，客户端用来创建代理连接的连接工场对象的 imqSSLIsHostTrusted 属性被设置为 true ，表现客户端运行时环境将担当提供应它的任何证书。您必须将此值变动为 false ，这样客户端运行时环境将实验验证全部提供应它的证书。 假如证书签订人不在客户端的信托库中，验证将会失败。

2. 验证署名机构是否已在客户端的信托库中注册。

   要测试客户端是否会担当由您的证书颁发机构署名的证书，请实验创建 SSL 连接，如上文 设置并运行基于 SSL 的客户端 中所述。假如 CA 在客户端的信托库中，连接将会成功，您可以跳过下一步。假如连接由于证书验证错误而失败，请实行下一步。

3. 在客户端的信托库中安装署名 CA 的根证书。

   默认环境下，客户端搜索密钥库文件 cacerts 和 jssecacerts ，因此，假如您在两个文件中的任何一其中安装了证书，则无需进行进一步的设置。以下示例将文件 testrootca.cer 中的 Verisign 证书颁发机构的测试根证书安装到默认系统证书文件 cacerts 中。该示例假定 J2SE 安装在 $JAVA_HOME/usr/j2se 目次中：

   keytool -import -keystore /usr/j2se/jre/lib/security/cacerts -alias VerisignTestCA -file testrootca.cer -noprompt -trustcacerts -storepass myStorePassword

   还可以（并提议）将根证书安装到可选系统证书文件 jssecacerts 中：

   keytool -import -keystore /usr/j2se/jre/lib/security/jssecacerts -alias VerisignTestCA -file testrootca.cer -noprompt -trustcacerts -storepass myStorePassword

   第三种大概是将根证书安装到其他密钥库文件中，并设置客户端以使用该文件作为其信托库。以下示例将根证书安装到文件 /home/smith/.keystore 中：

   keytool -import -keystore /home/smith/.keystore -alias VerisignTestCA -file testrootca.cer -noprompt -trustcacerts -storepass myStorePassword

   默认环境下，客户端不搜索此密钥库，因此您必须明白地向客户端提供其位置，将其用作信托库。您可以在客户端运行后，通过设置 Java 系统属性 javax.net. ssl.trustStore 实行此操作：

   javax.net.ssl.trustStore=/home/smith/.keystore