具有自签名证书的 Tomcat 应用程序会在 Chrome 浏览器中导致 ERR_CERT_AUTHORITY_INVALID

Question

具有自签名证书的 Tomcat 应用程序会在 Chrome 浏览器中导致 ERR_CERT_AUTHORITY_INVALID

我已经设置了 https 并创建了自签名证书。但是，当我连接到该 URL 时，我收到一条 ERR_CERT_AUTHORITY_INVALID 消息。

https://{remote_host_name}:8443/

我已按照 Tomcat 网站上的说明进行 SSL 和自签名证书 ( https://tomcat.apache.org/tomcat-7.0-doc/ssl-howto.html#Edit_the_Tomcat_Configuration_File )。一个区别是我连接到远程主机，而不是本地主机，尽管我认为这并不重要。

这是一个测试环境，但不幸的是我无法在测试主机的浏览器中添加证书的例外，因为它们每次测试运行都会创建新的 FF 配置文件。

这是我用来创建自签名证书的命令：

./keytool -genkey -keyalg RSA -alias tomcat -keystore /var/tomcat/.keystore -storepass changeit -validity 360 -keysize 2048

这是我的 Tomcat server.xml 连接器信息：

Connector port="8443" protocol="org.apache.coyote.http11.Http11NioProtocol"
maxThreads="150" SSLEnabled="true" scheme="https" secure="true"
clientAuth="false" sslProtocol="TLS"
keystoreFile="/var/tomcat/.keystore"
keystorePass="changeit"

• Tomcat 文档中用于自签名证书的配置是否仅在本地主机上运行 Tomcat 时才有效？
• 解决这个问题的最佳方法是什么？

Answer 1

具有自签名证书的 Tomcat 应用程序会在 Chrome 浏览器中导致 ERR_CERT_AUTHORITY_INVALID

当然可以。您的 tomcat 服务器向浏览器提供的证书不是由浏览器信任的证书机构颁发的（即随浏览器或操作系统一起提供）。因此浏览器没有理由信任该证书并抱怨。

如果浏览器不检查它是否信任证书的颁发者，这意味着它将信任任意人颁发的任何证书，其中包括攻击者颁发的证书。你真的想要这个吗？

要使用自签名证书，您必须明确接受每个浏览器中受信任的证书，但当然前提是您手动验证了证书的指纹以确保没有人篡改连接。服务器端的重新配置无法使浏览器自动信任此类自签名证书。跳过此步骤的唯一方法是使用浏览器已信任的证书机构颁发的证书。