带有自签名证书的Tomcat应用程序在Chrome浏览器中导致ERR_CERT_AUTHORITY_无效

Question

带有自签名证书的Tomcat应用程序在Chrome浏览器中导致ERR_CERT_AUTHORITY_无效

我已经设置了https并创建了自签名证书。但是，当我连接到URL时，会收到一条ERR\u CERT\u AUTHORITY\u INVALID消息。

https://{remote_host_name}:8443/

我已经按照Tomcat网站上的说明获取SSL和自签名证书（https://tomcat.apache.org/tomcat-7.0-doc/ssl-howto.html#Edit_the_Tomcat_Configuration_File ). 一个区别是我连接的是远程主机，而不是本地主机，尽管我认为这不重要。

这是一个测试环境，但不幸的是，我不能在测试主机的浏览器中为证书添加异常，因为它们在每次测试运行时都会创建新的FF配置文件。

以下是我用来创建自签名证书的命令：

./keytool -genkey -keyalg RSA -alias tomcat -keystore /var/tomcat/.keystore -storepass changeit -validity 360 -keysize 2048

这是我的Tomcatserver.xml连接器信息：

Connector port="8443" protocol="org.apache.coyote.http11.Http11NioProtocol"
maxThreads="150" SSLEnabled="true" scheme="https" secure="true"
clientAuth="false" sslProtocol="TLS"
keystoreFile="/var/tomcat/.keystore"
keystorePass="changeit"

• Tomcat文档中的自签名证书配置是否仅在localhost?上运行Tomcat时工作
• 解决这个问题的最好方法是什么？

Answer 1

带有自签名证书的Tomcat应用程序在Chrome浏览器中导致ERR_CERT_AUTHORITY_无效

当然有。您的tomcat服务器向浏览器提供的证书不是由浏览器信任的证书代理机构颁发的（即随浏览器或操作系统一起提供的）。因此，浏览器没有理由信任证书并抱怨。

如果浏览器不检查它是否信任证书颁发者，这意味着它将信任由任意人颁发的任何证书，其中包括攻击者颁发的证书。你真的想要这个吗？

要使用自签名证书，您必须在每个浏览器中显式接受证书为可信的，但当然，只有在您手动验证证书指纹以确保没有人篡改连接之后。任何服务器端重新配置都无法使浏览器自动信任此类自签名证书。跳过此步骤的唯一方法是使用已受浏览器信任的证书代理机构颁发的证书。