Configurer SSL sur la Jetée

Réponse mis à jour après plus d'expérience avec des fichiers de clés. Je vous assure que cette solution fonctionne parfaitement avec les certificats intermédiaires (29/07/2015).

Remarque: le format PEM signifie un fichier lisible, certificats de commencer avec ---BEGIN CERTIFICATE--- et les clés privées de commencer avec -----BEGIN PRIVATE KEY----- ligne.

Voici un guide étape par étape. Commencez avec un répertoire vide.

Passez à l'Étape 2 si vous avez la clé privée (encodé au format PEM .la clé)

Passez à l'Étape 3 si vous avez des demande de signature de certificat (encodé au format PEM .la rse)

Passez à l'Étape 4 si vous avez votre certificat (encodé au format PEM .crt ou .pem)

1. Préparer (sans mot de passe) de la clé privée.

   openssl genrsa -des3 -passout pass:1 -out domain.pass.key 2048
   openssl rsa -passin pass:1 -in domain.pass.key -out domain.key
   rm domain.pass.key
   

2. Préparer la demande de signature de certificat (CSR). Nous allons générer à l'aide de notre clé. Entrez les informations pertinentes lorsque demandé. Notez l'utilisation de -sha256, sans elle, les navigateurs modernes va générer un message d'avertissement.

   openssl req -key domain.key -sha256 -new -out domain.csr
   

3. Préparer certificat. Choisissez:

   a) de Signer vous-même

   openssl x509 -req -days 3650 -in domain.csr -signkey domain.key -out domain.crt
   

   b) de l'Envoyer à une autorité

   Votre fournisseur de certificats SSL, de vous fournir votre certificat et de leurs certificats intermédiaires au format PEM.

4. Ajouter à la chaîne de confiance et un package au format PKCS12. Première commande définit un mot de passe du fichier de clés pour des raisons de commodité (sinon, vous devrez entrer le mot de passe une dizaine de fois). Définir un mot de passe différent pour la sécurité.

   export PASS=LW33Lk714l9l8Iv
   

   Choisissez:

   a) certificat Auto-signé (pas besoin de certificats intermédiaires)

   openssl pkcs12 -export -in domain.crt -inkey domain.key -out domain.p12 -name domain -passout pass:$PASS
   keytool -importkeystore -deststorepass $PASS -destkeypass $PASS -destkeystore domain.keystore -srckeystore domain.p12 -srcstoretype PKCS12 -srcstorepass $PASS -alias domain
   

   b) la Nécessité d'inclure les certificats intermédiaires

   Télécharger les certificats intermédiaires et concat en un seul fichier. L'ordre doit être sous la racine.

   cat sub.class1.server.ca.pem ca.pem > ca_chain.pem
   

   Utiliser un -caname paramètre pour chaque certificat intermédiaire dans la chaîne de fichier, correspondant à l'ordre qu'ils ont été mis dans la chaîne de fichier.

   openssl pkcs12 -export -in domain.crt -inkey domain.key -out domain.p12 -name domain -passout pass:$PASS -CAfile ca_chain.pem -caname sub1 -caname root -chain
   keytool -importkeystore -deststorepass $PASS -destkeypass $PASS -destkeystore domain.keystore -srckeystore domain.p12 -srcstoretype PKCS12 -srcstorepass $PASS -alias domain
   

   Remarque importante: Bien que keytool -list ne liste une entrée et pas de certificats intermédiaires, il fonctionne parfaitement.

5. Configurer la jetée.

   Déplacer domain.keystore fichier à JETTY_HOME/etc/.

   Choisissez:

   a) Vous êtes en utilisant de nouveaux start.ini style de configuration (Jetty 8+):

   jetty.keystore=etc/domain.keystore
   jetty.truststore=etc/domain.keystore
   jetty.keystore.password=LW33Lk714l9l8Iv
   jetty.keymanager.password=LW33Lk714l9l8Iv
   jetty.truststore.password=LW33Lk714l9l8Iv
   

   b) Vous êtes à l'utilisation de l'ancienne configuration .les fichiers xml (vous devez mettre à niveau pour un nouveau style!):

   Modifier JETTY_HOME/etc/jetty-ssl.xml fichier et modifier la partie ci-dessous. Remplacer le mot de passe pièces pour correspondre à votre mot de passe. Nous ne définissons pas le KeyManagerPassword parce que notre clé n'a pas de mot de passe.

   <Configure id="Server" class="org.eclipse.jetty.server.Server">
     <New id="sslContextFactory" class="org.eclipse.jetty.http.ssl.SslContextFactory">
       <Set name="KeyStore"><Property name="jetty.home" default="." />/etc/keystore</Set>
       <Set name="KeyStorePassword">LW33Lk714l9l8Iv</Set>
       <Set name="TrustStore"><Property name="jetty.home" default="." />/etc/keystore</Set>
       <Set name="TrustStorePassword">LW33Lk714l9l8Iv</Set>
     </New>
     <Call name="addConnector">...</Call>
   </Configure>
   

   Modifier démarrer.ini fichier à inclure jetty-ssl.xml fichier.

6. (Re)lancer la jetée.

Notez que ce fichier de magasin de clés peut également être utilisé avec d'autres conteneurs comme Tomcat. Bonne chance!

Viens d'acheter un cert de godaddy pour la modique somme de 6/an. Pendant qu'elle dure. Voici les étapes que j'ai suivi à mettre en place sur Amazon EC2/Ubuntu/Jetée sur la base de ces sites et Jean-Philippe Gravel réponse.

http://docs.codehaus.org/display/JETTY/How+à+configuration+SSL

http://community.xmatters.com/docs/DOC-1228#.UgWsI1MU7lc

keytool -keystore keystore -alias jettykey -genkey -keyalg RSA

Note que "nom et prénom" doit être votre nom de domaine complet (sans http://). Lors de ma première tentative, j'avais consciencieusement mettre mon nom et prénom, mais godaddy a de bonnes mises en garde et l'a rejetée.

Générer un fichier CSR pour Godaddy:

keytool -certreq -alias jetty -keystore keystore -file jetty.csr

Soumettre ce dans la Godaddy formulaire pour créer le certificat, y compris le point de début/FIN "NOUVELLE DEMANDE de CERTIFICAT".

(Godaddy vous oblige à vérifier son de votre site. Il ya un couple de méthodes pour ce et depuis que j'ai acheté le nom de domaine via un proxy, je l'ai trouvé plus facile et rapide à vérifier par l'hébergement d'une page html générée par godaddy.)

Télécharger le zip contenant à la fois le certificat et le certificat intermédiaire de godaddy. Il y a une liste des types de serveur à choisir. - Je choisir "autres". Puis de combiner cert par l'intermédiaire de cert.

cat mydomain.com.crt gd_bundle.crt > certchain.txt

exportation ma clé privée

keytool -importkeystore -srckeystore keystore -destkeystore intermediate.p12 -deststoretype PKCS12
openssl pkcs12 -in intermediate.p12 -out jettykey.pem -nodes

combiner clé privée et le certificat

openssl pkcs12 -export -inkey jettykey.pem -in certchain.txt -out jetty.pkcs12

importation pkcs12 cert (alias devient 1)

keytool -importkeystore -srckeystore jetty.pkcs12 -srcstoretype PKCS12 -destkeystore keystore

(J'ai sauvegardé le fichier de clés puis supprimé la clé d'origine. J'ai fait cela pendant le dépannage et cela peut ou peut ne pas être exigée par la Jetée.)

keytool -delete  -keystore keystore -alias jettykey

sudo cp keystore /usr/share/jetty/etc/

sudo vi /usr/share/jetty/etc/jetty-ssl.xml

Modifier votre.magasin.le mot de passe, votre.clé.le mot de passe, et votre.confiance.mot de passe en conséquence. Si vous souhaitez dissimuler, utilisez

java -cp /usr/share/jetty/lib/jetty.jar:/usr/share/jetty/lib/jetty-util.jar org.mortbay.jetty.security.Password <your.password>

Indiquer à l'Embarcadère pour charger le jetty-ssl.xml fichier.

sudo echo "/etc/jetty/jetty-ssl.xml" >> /etc/jetty/jetty.conf

sudo /sbin/iptables -t nat -I PREROUTING -p tcp --dport 443 -j REDIRECT --to-port 8443

(Également modifier Amazon EC2 groupe de sécurité pour permettre 443)

sudo service jetty start

Lors de la tentative de Windows avec Jetée comme Maven plugin les étapes suivantes peuvent aider:

pom.xml

<plugin>
    <groupId>org.mortbay.jetty</groupId>
    <artifactId>jetty-maven-plugin</artifactId>
    <version>8.1.11.v20130520</version>
    <configuration>
        <scanIntervalSeconds>10</scanIntervalSeconds>
        <webApp>
            <contextPath>/yourappcontext</contextPath>
        </webApp>
        <connectors>
            <connector implementation="org.eclipse.jetty.server.nio.SelectChannelConnector">
                <port>9090</port>
                <maxIdleTime>1</maxIdleTime>
            </connector>
            <connector implementation="org.eclipse.jetty.server.ssl.SslSocketConnector">
                <port>9443</port>
                <keystore>src/test/resources/keystore</keystore>
                <keyPassword>123456</keyPassword>
                <password>123456</password>
            </connector>
        </connectors>
    </configuration>
</plugin>

Générer la clé/certificat à l'aide du JDK outil keytool:

keytool -keystore keystore -alias jetty -genkey -keyalg RSA

Cette commande va générer un fichier keystore dont nous avons besoin pour mettre à la suite (ou ce que jamais vous le souhaitez jusqu'à ce qu'il est configuré dans le keystore élément) chemin src/test/resources/keystore.