Tomcat6 中的证书吊销列表答案

【问题标题】：Certificate Revocation List in Tomcat6Tomcat6 中的证书吊销列表
【发布时间】：2012-05-08 06:10:07
【问题描述】：

我已经对我的 Tomcat 服务器实施了客户端身份验证。我已经分发了使用我自己的 CA crt 和 openSSL 生成的客户端 X509 证书和 JKS。现在我想使用 CRL 来阻止我的一些客户。如何将 CRL 添加到 tomcat？...我没有从 Google 那里找到任何帮助。

【问题讨论】：

你有什么理由用openssl标记这个？听起来你没有使用 APR。
实际上是在使用 openssl 来生成客户端证书并管理它们..所以认为 openssl 也是相关的..

标签： openssl tomcat6 authentication

【解决方案1】：

我正在回答我自己的问题..在 tomcat 连接器标记中，您有 crlFile 参数，可以使用 openssl 生成。命令看起来像这样

openssl ca -config openssl.my.cnf -revoke certs/server.crt
openssl ca -config openssl.my.cnf -gencrl -out crl/myca.crl

文件 myca.crl 将在 tomcat 的连接器标签中更新，看起来像这样

<Connector protocol="org.apache.coyote.http11.Http11Protocol"
    port="8443"
    SSLEnabled="true"
    maxThreads="150"
    scheme="https"
    secure="true"
    clientAuth="true"
    sslProtocol="TLS"
    keystoreFile="one.mamoi.semdev.com.pkcs12"
    keystoreType="PKCS12"
    keystorePass="changeit"
    truststoreFile="server.truststore"
    truststorePass="changeit"
    truststoreType="JKS"
    crlFile="/home/ubuntu/myCA/crl/myca.crl"/>

【讨论】：

在您的情况下，您只需要阻止特定客户端，如果由受信任的 CA 维护的 CRL 列表得到更新怎么办？