错误代码:SEC_ERROR_BAD_SIGNATURE Tomcat 上安装了 SSL 证书

Question

我已经从Comodo为我的域名购买了SSL证书。科摩多提供给我的文件是：

1. SSL_PrivateKEY_www_my-domain_com.txt
2. SSL_CSR_www_my-domain_com.txt
3. AddTrustExternalCARoot.crt
4. USERTrustRSAAddTrustCA.crt
5. SectigoRSADomainValidationSecureServerCA.crt
6. www_my-domain_com.crt

经过研究，我发现这个步骤是使用 .key 和 .crt 文件创建 .jks 密钥库...，我使用 3、4 和 5 crt 文件并创建 cert.pem，然后我使用 1 crt 创建 key.pem。之后，我正在创建指南所说的 jks。接下来，我将在密钥库中导入 6 crt 文件，如下所示：

keytool -import -alias mykey -file www_my-domain_com.crt -keystore www_my-domain_com.jks

之后，我使用密钥库资源管理器将密钥库转换为 PKCS12。最后，我将文件上传到我的服务器，这是我的tomcat 8连接器：

<Connector port="9443" maxHttpHeaderSize="8192" maxThreads="100"
minSpareThreads="25" maxSpareThreads="75"
enableLookups="false" disableUploadTimeout="true"
acceptCount="100" scheme="https" secure="true"
protocol="org.apache.coyote.http11.Http11Protocol"
SSLEnabled="true" clientAuth="false"
keyAlias="server" sslProtocol="TLS" sslEnabledProtocols="TLSv1.2,TLSv1.1,TLSv1"
keystoreFile="/home/test/ssls/www_my-domain_com.jks"
keystorePass="password" />

重新启动我的雄猫，然后我在火狐上得到的错误

错误代码：SEC_ERROR_BAD_SIGNATURE

我还使用密钥库资源管理器来检查 ssl 和显示的错误是：

javax.net.ssl.SSLKeyException: Invalid signature on ECDH server key exchange message
at sun.security.ssl.HandshakeMessage$ECDH_ServerKeyExchange.<init>(Unknown Source)
at sun.security.ssl.ClientHandshaker.processMessage(Unknown Source)
at sun.security.ssl.Handshaker.processLoop(Unknown Source)
at sun.security.ssl.Handshaker.process_record(Unknown Source)
at sun.security.ssl.SSLSocketImpl.readRecord(Unknown Source)
at sun.security.ssl.SSLSocketImpl.performInitialHandshake(Unknown Source)
at sun.security.ssl.SSLSocketImpl.startHandshake(Unknown Source)
at sun.security.ssl.SSLSocketImpl.startHandshake(Unknown Source)
at sun.net.www.protocol.https.HttpsClient.afterConnect(Unknown Source)
at sun.net.www.protocol.https.AbstractDelegateHttpsURLConnection.connect(Unknown Source)
at sun.net.www.protocol.https.HttpsURLConnectionImpl.connect(Unknown Source)
at org.kse.utilities.ssl.SslUtils.readSSLConnectionInfos(SslUtils.java:116)
at org.kse.gui.dialogs.DExaminingSsl$ExamineSsl.run(DExaminingSsl.java:207)
at java.lang.Thread.run(Unknown Source)

Answer 1

在与SSL证书提供商联系后，我找到了解决方案，即：

1. 首先，我必须按以下顺序创建一个名为 my.bundle 的捆绑文本文件：

• SectigoRSADomainValidationSecureServerCA.crt
• USERTrustRSAAddTrustCA.crt
• AddTrustExternalCARoot.crt

2. 其次，您必须使用 OpenSSL 运行以下命令：

openssl pkcs12 -export -in my.crt -inkey my.key -certfile my.bundle -出我的.pfx

其中my.crt是www_my-domain_com.crt，my.key是你的私钥，my.bundle是我们在上一步中创建的文件。

3. 下一步是运行命令：

keytool -importkeystore -srckeystore pkcs12文件名.p12 -srcstoretype pkcs12 -destkeystore jksFileName.jks -deststoretype jks

这里的pkcs12文件名.p12是从上一步生成的文件，将其重命名为 p12(将 pfx 格式转换为 p12(

4. 以下步骤只需在密钥库资源管理器的帮助下将从上一步导出的 jks 转换为键入 pkcs12。

5. 最后，conf/服务器.xml中的 tomcat 连接器是：

   连接器端口="8443" maxHttpHeaderSize="8192" maxThreads="150" minSpareThreads="25" maxSpareThreads="75" enableLookups="false" disableUploadTimeout="true" SSLEnabled="true" acceptCount="100" scheme="https" secure="true" clientAuth="false" sslProtocol="TLS" keystoreFile="/opt/sslcertificate/www_my-domain_com.jks" keystorePass="mypassword"

而且效果很好！