你需要openssl,用来产生CA证书、签名并生成IE可导入的私钥。可以到http://www.openssl.org下载。
4.2 建立自己的CA
4.2.1 建立工作目录
mkdir ca
4.2.2 生成CA私钥以及自签名根证书
4.2.2.1 生成CA私钥
openssl genrsa -out ca/ca-key.pem 1024
4.2.2.2 生成待签名证书
openssl req -new -out ca/ca-req.csr -key ca/ca-key.pem -config d:/openssl/apps/openssl.cnf
4.2.2.3 用CA私钥进行自签名
openssl x509 -req -in ca/ca-req.csr -out ca/ca-cert.pem -signkey ca/ca-key.pem -days 365
4.3 设置Tomcat 4.x
在本文中用符号"%JDK_HOME%"来表示JDK的安装位置,用符号"%TCAT_HOME%" 表示Tomcat的安装位置。
4.3.1建立工作目录
mkdir server
4.4 在IE中安装个人证书
4.4.1 建立工作目录
mkdir client
4.4.2 生成client私钥并用CA私钥签名
4.4.2.1 生成client私钥
openssl genrsa -out client/client-key.pem 1024
4.4.2.2 生成待签名证书
openssl req -new -out client/client-req.csr -key client/client-key.pem -config d:/openssl/apps/openssl.cnf
注意:An optional company name:sunrising,否则证书安装后提示证书链不完整!!!
4.4.2.3 用CA私钥进行签名
openssl x509 -req -in client/client-req.csr -out client/client.crt -signkey client/client-key.pem -CA ca/ca-cert.pem -CAkey ca/ca-key.pem -CAcreateserial -days 365
4.4.2.4 生成client端的个人证书
因为JSSE1.0.2没有完全实现了对PKCS#12格式文件的操作(只能读取,不能输出),所以在这里需要用openssl制作client端的个人证书(包含私钥)。
openssl pkcs12 -export -clcerts -in client/client.crt -inkey client/client-key.pem -out client/client.p12
4.4.2.5 安装信任的根证书
把ca/ca-key.pem改名为ca/ca-key.cer,在client端的IE中使用"工具 ' Internet选项 ' 内容 ' 证书 ' 导入"把我们生成的CA根证书导入,使其成为用户信任的CA。
4.4.3 安装个人证书
把client.p12导入到client端的IE中作为个人证书,导入过程同4.4.2.5。
证书有了,应该就不需要再生成密月对了。但我对怎么使用证书不懂。