一、java生成keystore密钥对
1、打开jdk的bin目录，使用keytool工具生成keystore密钥对
Keytool 是一个 Java 数据证书的管理工具 ，Keytool 将密钥（key）和证书（certificates）存储于一个称为 keystore 的密钥库文件中。
2、可查看帮助命令参考
keytool -help
（1）-genkeypair
-genkeypair命令可以产生密钥对(一个公钥与关联的私钥)，将公钥打包至X.509 v3自签名证书中，证书以单元素证书链的形式存储。该证书链与私钥存储在密钥库的新条目中，通过-alias选项进行标识
（2）-genseckey
可以创建一个秘密密钥并将其存储在新的SecretKeyEntry中，通过-alias选项进行标识。
（3）-importcert
读取file选项指定的证书或证书链(证书链为PKCS#7格式回复)，并将其保存至密钥库中alias选项指定的条目中。若未指定file选项，则从标准输入读取证书或PKCS#7回复。
keytool可以导入X.509版本1、版本2、版本3的证书，以及PKCS#7格式的证书组成的证书链。被导入的数据需要为二进制格式，或可打印的编码格式(即Base64编码)。当导入Base64编码格式的证书时，证书数据的头部需要以"-----BEGIN"开头，尾部需要以"-----END"开头。
以下两种情况需要将证书导入密钥库：
a.将证书添加到密钥库的受信任证书列表中；
b.将提交给CA的证书签名请求对应的CA返回的证书回复导入密钥库。
在早期的版本中，该命令的名字为-import。在当前版本与以后的版本中，旧名称仍然被支持，但推荐使用新名字-importcer
（4）-list
用于打印-alias选项标识的密钥库条目的内容。如果未指定-alias选项，密钥库的全部内容将会被打印。
该命令默认打印证书的MD5指纹。当指定了-v选项时，会使用可读的形式进行打印，包含额外的信息，如所有者、所有者、序列号等。当指定了-rfc选项时，证书内容会以Internet RFC 1421标准定义的可打印编码格式进行输出。
-v与-rfc选项不可以同时指定。
（5）-printcert
从-file选项指定的文件中读取证书，并将其内容以可读的形式进行指定。若未指定-file选项，则从标准输入读取证书。
被查看的证书可为二进制编码形式或Internet RFC 1421标准定义的可打印编码格式。
（6）-delete
用于从密钥库中删除-alias选项对应的条目。当未指定-alias选项时，将会提示输入。
（7）-storepass
storepass选项对应的密码用于保护密钥库的完整性。storepass必须为至少6个字节。当需要操作密钥库内容时，所有的命令都需要指定storepass选项。对于这些命令，如果-storepass选项未在命令行中指定，keytool将会提示用户。
当从密钥库检索信息时，密码是可选的；如果不指定密码，被检索信息的完整性将无法检查，且会有警告显示。
3、相关选项默认值：
（1）-alias
指定密钥库操作的条目对应的别名，默认值为"mykey"。
（2）-keyalg
keyalg选项指定生成密钥对或私钥时使用的算法，1.6版本后默认值与生成秘钥的命令有关。如下：
| JRE版本 | keyalg默认值 |
|---|---|
| 1.5 | DSA |
| 1.6 | DSA(-genkeypair) & DES(-genseckey) |
| 1.7 | DSA(-genkeypair) & DES(-genseckey) |
| 1.8 | DSA(-genkeypair) & DES(-genseckey) |
（3）-keystore
指定密钥库文件位置，默认值为用户目录（C:\Users\Administrator）的.keystore文件。
（4）-sigalg
sigalg选项指定对自签名证书或证书签名请求进行签名时使用的算法，sigalg对应的算法需要与keyalg对应的算法兼容。在生成公/私钥对时，sigalg选项对应的签名算法从底层私钥的算法衍生而来。
| JRE版本 | sigalg选项默认值 |
|---|---|
| 1.5 | SHA1withDSA(底层私钥为DSA类型)，MD5withRSA(底层私钥为RSA类型) |
| 1.6 | SHA1withDSA (底层私钥为DSA类型)，SHA256withRSA (底层私钥为RSA类型) |
| 1.7 | SHA1withDSA (底层私钥为DSA类型)，SHA256withRSA (底层私钥为RSA类型)，SHA256withECDSA (底层私钥为EC类型) |
| 1.8 | SHA1withDSA (底层私钥为DSA类型)，SHA256withRSA (底层私钥为RSA类型)，SHA256withECDSA (底层私钥为EC类型) |
（5）-keysize
指定生成的密钥长度，默认值如下：
| JRE版本 | keysize默认值 |
|---|---|
| 1.5 | 1024 |
| 1.6 | 1024 (使用-genkeypair) 56 (使用-genseckey且-keyalg选项为"DES") 168 (使用-genseckey且-keyalg选项为"DESede") |
| 1.7 | 2048 (使用-genkeypair且-keyalg为"RSA") 1024 (使用-genkeypair且-keyalg为"DSA") 256 (使用-genkeypair且-keyalg为"EC") 56 (使用-genseckey且-keyalg为"DES") 168 (使用-genseckey且-keyalg为"DESede") |
| 1.8 | 2048 (使用-genkeypair且-keyalg为"RSA") 1024 (使用-genkeypair且-keyalg为"DSA") 256 (使用-genkeypair且-keyalg为"EC") 56 (使用-genseckey且-keyalg为"DES") 168 (使用-genseckey且-keyalg为"DESede") |
（6）-validity
指定有效期，单位为天，默认值为90
（7）-storetype
指定密钥库的存储类型，默认值为Java安全属性文件java.security中的"keystore.type"属性值(jks)
秘钥说明：
JKS:
KS是内置的默认密钥库实现类型，由Sun Microsystems提供。JKS类型将密钥库以文件形式实现，利用专有的密钥库类型。它对每个私钥使用其私有的密码进行保护，同时对整个密钥库使用一个密码(有可能不同)保护其完整性。密钥库类型名称不区分大小写。例如，“jks"被认为等同于"JKS”。
JCEKS:
"JCEKS"是另一种替代的专用密钥库格式，与"JKS"相比，"JCEKS"使用更健全的加密方式，使用基于口令的3DES加密。
Sun的"JCEKS"实现可以对"JKS"密钥库解析并转换为"JCEKS"格式。你可以将"JKS"类型的密钥库升级为"JCEKS"类型，通过修改密钥库中私钥条目的密码，需要指定"-storetype jceks"作为密钥库类型。
PKCS12:
"PKCS12"是另一种选项，这是一种跨平台的密钥库，基于RSA PKCS12个人信息交换标准。这个标准主要用于存储或传输用户的私钥、证书以及各种秘密。
DKS:
"dks"是域密钥库，它是密钥库的集合，表现为一个逻辑上单独的密钥库
PKCS11:
当密钥库的类型为pkcs11时，为支持PKCS#11令牌的密钥库。
| JDK版本 | 支持的秘钥库类型 |
|---|---|
| 1.5 | JKS，PKCS12 |
| 1.6 | JKS，PKCS12，JCEKS |
| 1.7 | JKS，PKCS12，JCEKS |
| 1.8 | JKS，PKCS12，JCEKS，DKS，PKCS11 |
4、生成密钥对命令
keytool –genkeypair –alias tomcat –keyalg "RSA" –keysize 2048 –sigalg SHA256withRSA –validity 3650 –keystore D:\tomcat.keystore –storetype pkcs12
# 秘钥库别名tomcat
# 使用的算法RSA
# 生成秘钥的长度 2048
# 签名算法SHA256withRSA
# 有限期3650天
# 秘钥库文件位置 d盘
# 秘钥库存储类型 pscs12（默认jks）输入秘钥库口令：必须为至少6个字节
其他例如名字组织等，随便填写。
二、tomcat配置https访问
打开tomcat的conf目录，编辑配置文件server.xml，取消connector标签注释，添加如下配置，如需其他配置请自行添加：
SSLEnabled="true"
maxThreads="150"
scheme="https"
secure="true"
clientAuth="false"
sslProtocol="TLS"
keystoreFile="生成的证书文件地址"
keystorePass="密钥库口令"
此时运行tomcat服务后，可通过https及配置中的端口访问服务。
三、漏洞修复
1、远程服务接受使用 TLS 1.0 加密的连接
TLS 1.0 具有若干加密设计缺陷。现如今的 TLS 1.0 实施缓解了这些问题，不过应尽可能使用诸如 1.2 和 1.3 等较新的 TLS 版本，其专为应对这些缺陷而设计。
自 2020 年 3 月 31 日起，主流 Web 浏览器和供应商将无法再正常使用未启用 TLS 1.2 及更高版本的端点。
在tomcat的conf/server.xml配置中，修改配置：
sslEnabledProtocols="TLSv1.2"
在jdk安装目录下jre/lib/security/java.security中修改以下配置：
jdk.tls.disabledAlgorithms=SSLv2Hello, SSLv3, TLSv1, TLSv1.1
2、无法信任该服务的 SSL 证书
访问显示证书错误或失效
点击查看证书
默认下一步到此处，指定证书文件位置和名称
以管理员身份运行命令提示符窗口：
进入jdk下的bin目录，执行证书-导入命令：
keytool –import –v – trustcacerts –alias tomcat –keystore jre路径/lib/security/cacerts –file D:/tomcat.cer –storepass changeit
# 当指定了-trustcacerts选项时，cacerts文件中的证书也会作为受信任证书参与上述验证
# 库密钥storepass默认口令输：changeit
window + R打开运行窗口，输入mmc
文件 --》添加控制单元
点击证书后，选择添加，默认下一步即可。
如图，在受信任的根证书颁发机构处下，右击证书选择导入，
找到cer证书
