Tomcat Ssl

Tomcat SSL

Curso 2003-2004

Configuración de Tomcat para usar SSL
En este tutorial se describe cómo configurar Tomcat para acceder a las aplicaciones web
empleando HTTP sobre SSL.
Existen dos configuraciones posibles: la más sencilla consiste en usar la herramienta keytool,
distribuida con el kit de desarrollo de Java, para generar un certificado autofirmado del servidor.
Es necesariocambiar la configuración del fichero server.xml para activar un conector que
permitirá acceder a Tomcat a través de https. Esta configuración tiene una limitación
importante: no es posible aprovechar el mecanismo de autoridades de certificación X509.
La segunda alternativa es un poco más compleja, porque requiere crear una autoridad de
certificación (CA) con la cual se pueden generarcertificados para Tomcat y para los clientes
que acceden a Tomcat. Como la herramienta keytool no permite realizar las operaciones
necesarias, se requiere otra herramienta para crear la autoridad de certificación y firmar
solicitudes de certificado. En este tutorial se emplea OpenSSL.

Software necesario
La herramienta keytool se encuentra en el directorio bin de la instalación del j2sdk (kit dedesarrollo estándar de Java).
Si se emplea una versión anterior a la 1.4 del kit de desarrollo de Java, será necesario instalar la
extensión de Java JSSE, que se puede obtener en: http://java.sun.com/products/jsse/. Los
ficheros jar se deben copiar al directorio de instalación de extensiones:
%JAVA_HOME%\jre\lib\ext.
OpenSSL se puede obtener del sitio web www.openssl.org. Puede ser compilada enentornos
Linux o Windows. En la página web de la asignatura está disponible en una versión compilada
para Win32: http://ants.dif.um.es/asignaturas/servicios. El software que incluye la distribución
OpenSSL para la gestión de autoridades de certificación requiere la instalación previa de Perl.
Para sistemas Windows, existe una distribución gratuita llamada ActivePerl, que se puede
obtener en elsitio: http://www.activestate.com/Products/ActivePerl.

Configuración de Tomcat
Tanto si se emplea un certificado autofirmado como si se crea una autoridad de certificación, los
cambios en el fichero server.xml de Tomcat son los mismos. Hay que buscar el siguiente
elemento Connector que aparece comentado:





Servicios de Información para las Comunicaciones

Página 1

Tomcat SSLCurso 2003-2004

Para activar el uso de SSL, hay que dejar sin comentarios el elemento Connector. Los aspectos
más destacables de la configuración que se activa son:
•
•

Se habilita el acceso al servidor de forma segura a través del puerto 8443. Por tanto, las
URL que se tienen que emplear son de la forma:
o https://servidor:8443/aplicacionweb/recurso.
No se solicita certificado alcliente durante el establecimiento de la conexión SSL. Por
tanto, no es necesario cambiar nada en el navegador web que usemos.

Generación del certificado autofirmado para el servidor
Para completar la instalación sencilla de Tomcat en modo seguro es necesario generar un
certificado autofirmado y almacenarlo en un repositorio de claves (keystore) al alcance de
Tomcat. Los certificados sealmacenan en los repositorios asociándoles un alias. En el caso de
Tomcat, la configuración por defecto busca el certificado con alias tomcat. Los keystores se
protegen con una clave. Por defecto, dicha clave es changeit, y en este tutorial no se modifica.
El uso de la herramienta keytool para generar un keystore con un certificado autofirmado es
este:
%JAVA_HOME%\bin\keytool –genkey –aliastomcat –keyalg RSA

Al introducir los datos relativos al certificado, es importante emplear el nombre del servidor
como CN (common name). Otros datos solicitados son: unidad organizativa, organización,
provincia, ciudad y país.
La ejecución del comando anterior genera un fichero llamado .keystore. En los sistemas
Windows, el fichero va a parar a un directorio diferente, de acuerdo con la...