AWS CloudHSM SSL/TLS-Offload unter Linux mit Tomcat mit JSSE

1. Installieren und konfigurieren Sie das JCE für AWS CloudHSM auf einem aktiven AWS CloudHSM Cluster mit mindestens zwei Hardware-Sicherheitsmodulen ()HSMs. Weitere Informationen zur Installation finden Sie unter JCE für Client-SDK 5.

2. Folgen Sie auf einer EC2 Linux-Instance, die Zugriff auf Ihren AWS CloudHSM Cluster hat, den Apache Tomcat-Anweisungen, um den Tomcat-Webserver herunterzuladen und zu installieren.

3. Verwenden Sie die CloudHSM-CLI, um einen Crypto-Benutzer (CU) zu erstellen. Weitere Informationen zur Verwaltung von HSM-Benutzern finden Sie unter HSM-Benutzer mit der CloudHSM-CLI verwalten.

   Tipp

   Merken Sie sich den CU-Benutzernamen und das Passwort. Sie benötigen sie später beim Generieren oder Importieren des privaten HTTPS-Schlüssels und -Zertifikats für Ihren Webserver.

4. Folgen Sie den Anweisungen unter Verwenden Sie Client SDK 5 zur Integration AWS CloudHSM mit Java Keytool und Jarsigner, um JCE mit Java Keytool einzurichten.

Verwenden Sie den genkeypair Befehl in KeyTool , um ein RSA-Schlüsselpaar zu generieren

1. Nachdem Sie die <VARIABLES> folgenden Daten durch Ihre spezifischen Daten ersetzt haben, verwenden Sie den folgenden Befehl, um eine Keystore-Datei mit dem Namen zu generierenjsse_keystore.keystore, die eine Referenz Ihres privaten Schlüssels auf dem HSM enthält.

   $ keytool -genkeypair -alias <UNIQUE ALIAS FOR KEYS> -keyalg <KEY ALGORITHM> -keysize <KEY SIZE> -sigalg <SIGN ALGORITHM> \
           -keystore <PATH>/<JSSE KEYSTORE NAME>.keystore -storetype CLOUDHSM \
           -dname CERT_DOMAIN_NAME \
           -J-classpath '-J'$JAVA_LIB'/*:/opt/cloudhsm/java/*:./*' \
           -provider "com.amazonaws.cloudhsm.jce.provider.CloudHsmProvider" \
           -providerpath "$CLOUDHSM_JCE_LOCATION" \
           -keypass <KEY PASSWORD> -storepass <KEYSTORE PASSWORD>

   • <PATH>: Der Pfad, in dem Sie Ihre Keystore-Datei generieren möchten.

   • <UNIQUE ALIAS FOR KEYS>: Dies wird verwendet, um Ihren Schlüssel auf dem HSM eindeutig zu identifizieren. Dieser Alias wird als LABEL-Attribut für den Schlüssel festgelegt.

   • <KEY PASSWORD>: Wir speichern den Verweis auf Ihren Schlüssel in der lokalen Keystore-Datei, und dieses Passwort schützt diese lokale Referenz.

   • <KEYSTORE PASSWORD>: Dies ist das Passwort für Ihre lokale Keystore-Datei.

   • <JSSE KEYSTORE NAME>: Name der Keystore-Datei.

   • <CERT DOMAIN NAME>: X.500 Eindeutiger Name.

   • <KEY ALGORITHM>: Schlüsselalgorithmus zur Generierung key pair (z. B. RSA und EC).

   • <KEY SIZE>: Schlüsselgröße zur Generierung des key pair (z. B. 2048, 3072 und 4096).

   • <SIGN ALGORITHM>: Schlüsselgröße zur Generierung des key pair (z. B. RSA, SHA1with RSA, SHA224with RSA, SHA256with RSA und SHA384with RSA). SHA512with

2. Um zu bestätigen, dass der Befehl erfolgreich war, geben Sie den folgenden Befehl ein und überprüfen Sie, ob Sie erfolgreich ein RSA-Schlüsselpaar generiert haben.

   $ ls <PATH>/<JSSE KEYSTORE NAME>.keystore

Generieren eines Zertifikats

1. Besorgen Sie sich eine Kopie Ihrer Keystore-Datei, die in einem früheren Schritt generiert wurde.

2. Führen Sie den folgenden Befehl aus, um mit dem eine Zertifikatsignieranforderung (CSR) KeyTool zu erstellen.

   $ keytool -certreq -keyalg RSA -alias unique_alias_for_key -file certreq.csr \
           -keystore <JSSE KEYSTORE NAME>.keystore -storetype CLOUDHSM \
           -J-classpath '-J$JAVA_LIB/*:/opt/cloudhsm/java/*:./*' \
           -keypass <KEY PASSWORD> -storepass <KEYSTORE PASSWORD>

   Anmerkung

   Die Ausgabedatei der Zertifikatssignierungsanforderung ist certreq.csr.

Ein Zertifikat signieren

• Nachdem <VARIABLES> Sie die folgenden Daten durch Ihre spezifischen Daten ersetzt haben, führen Sie den folgenden Befehl aus, um Ihre CSR mit Ihrem privaten Schlüssel auf Ihrem HSM zu signieren. Dadurch wird ein selbstsigniertes Zertifikat erstellt.

  $ keytool -gencert -infile certreq.csr -outfile certificate.crt \
      -alias <UNIQUE ALIAS FOR KEYS> -keypass <KEY_PASSWORD> -storepass <KEYSTORE_PASSWORD> -sigalg SIG_ALG \
      -storetype CLOUDHSM -J-classpath '-J$JAVA_LIB/*:/opt/cloudhsm/java/*:./*' \
      -keystore jsse_keystore.keystore

  Anmerkung

  certificate.crt ist das signierte Zertifikat, das den privaten Schlüssel des Alias verwendet.

Ein Zertifikat in Keystore importieren

• Nachdem <VARIABLES> Sie das Folgende durch Ihre spezifischen Daten ersetzt haben, führen Sie den folgenden Befehl aus, um ein signiertes Zertifikat als vertrauenswürdiges Zertifikat zu importieren. In diesem Schritt wird das Zertifikat in dem durch den Alias identifizierten Keystore-Eintrag gespeichert.

  $ keytool -import -alias <UNIQUE ALIAS FOR KEYS> -keystore jsse_keystore.keystore \
      -file certificate.crt -storetype CLOUDHSM \
      -v -J-classpath '-J$JAVA_LIB/*:/opt/cloudhsm/java/*:./*' \
      -keypass <KEY PASSWORD> -storepass <KEYSTORE_PASSWORD>

Konvertiert ein Zertifikat in ein PEM

• Führen Sie den folgenden Befehl aus, um die signierte Zertifikatsdatei (.crt) in eine PEM-Datei zu konvertieren. Die PEM-Datei wird verwendet, um die Anfrage vom HTTP-Client zu senden.

  $ openssl x509 -inform der -in certificate.crt -out certificate.pem

Den Server beenden

• Nachdem <VARIABLES> Sie die folgenden Daten durch Ihre spezifischen Daten ersetzt haben, führen Sie den folgenden Befehl aus, um Tomcat Server zu beenden, bevor Sie die Konfiguration aktualisieren

  $ /<TOMCAT DIRECTORY>/bin/shutdown.sh

  • <TOMCAT DIRECTORY>: Ihr Tomcat-Installationsverzeichnis.

Aktualisieren Sie den Tomcat-Klassenpfad

1. Stellen Sie eine Verbindung mit Ihrer Client-Instance her.

2. Suchen Sie den Tomcat-Installationsordner.

3. Nachdem <VARIABLES> Sie das Folgende durch Ihre spezifischen Daten ersetzt haben, verwenden Sie den folgenden Befehl, um die Java-Bibliothek und AWS CloudHSM den Java-Pfad in Tomcat hinzuzufügenclasspath, die sich in der SH-Datei befinden. Tomcat/bin/catalina

   $ sed -i 's@CLASSPATH="$CLASSPATH""$CATALINA_HOME"\/bin\/bootstrap.jar@CLASSPATH="$CLASSPATH""$CATALINA_HOME"\/bin\/bootstrap.jar:'"
           <JAVA LIBRARY>"'\/*:\/opt\/cloudhsm\/java\/*:.\/*@' <TOMCAT PATH> /bin/catalina.sh

   • <JAVA LIBRARY>: Speicherort der Java JRE-Bibliothek.

   • <TOMCAT PATH>: Tomcat-Installationsordner.

Fügen Sie der Serverkonfiguration einen HTTPS-Connector hinzu.

1. Gehen Sie zum Tomcat-Installationsordner.

2. Nachdem <VARIABLES> Sie die folgenden Daten durch Ihre spezifischen Daten ersetzt haben, verwenden Sie den folgenden Befehl, um einen HTTPS-Connector hinzuzufügen, um Zertifikate zu verwenden, die in den Voraussetzungen generiert wurden:

   $ sed -i '/<Connector port="8080"/i <Connector port=\"443\" maxThreads=\"200\" scheme=\"https\" secure=\"true\" SSLEnabled=\"true\" keystoreType=\"CLOUDHSM\" keystoreFile=\"
           <CUSTOM DIRECTORY>/<JSSE KEYSTORE NAME>.keystore\" keystorePass=\"<KEYSTORE PASSWORD>\" keyPass=\"<KEY PASSWORD>
           \" keyAlias=\"<UNIQUE ALIAS FOR KEYS>" clientAuth=\"false\" sslProtocol=\"TLS\"/>' <TOMCAT PATH>/conf/server.xml

   • <CUSTOM DIRECTORY>: Verzeichnis, in dem sich die Keystore-Datei befindet.

   • <JSSE KEYSTORE NAME>: Name der Keystore-Datei.

   • <KEYSTORE PASSWORD>: Dies ist das Passwort für Ihre lokale Keystore-Datei.

   • <KEY PASSWORD>: Wir speichern den Verweis auf Ihren Schlüssel in der lokalen Keystore-Datei, und dieses Passwort schützt diese lokale Referenz.

   • <UNIQUE ALIAS FOR KEYS>: Dies wird verwendet, um Ihren Schlüssel auf dem HSM eindeutig zu identifizieren. Dieser Alias wird als LABEL-Attribut für den Schlüssel festgelegt.

   • <TOMCAT PATH>: Der Pfad zu Ihrem Tomcat-Ordner.

Starten des Servers

• Nachdem <VARIABLES> Sie das Folgende durch Ihre spezifischen Daten ersetzt haben, verwenden Sie den folgenden Befehl, um Tomcat Server zu starten:

  $ /<TOMCAT DIRECTORY>/bin/startup.sh

  Anmerkung

  <TOMCAT DIRECTORY>ist der Name Ihres Tomcat-Installationsverzeichnisses.

So erstellen Sie eine Sicherheitsgruppe für HTTPS und weisen sie Ihrem Webserver zu

1. Öffnen Sie die EC2 Amazon-Konsole unter https://console.aws.amazon.com/ec2/.

2. Wählen Sie im Navigationsbereich Sicherheitsgruppen aus.

3. Wählen Sie Sicherheitsgruppe erstellen.

4. Führen Sie für Sicherheitsgruppe erstellen die folgenden Schritte aus:

   1. Geben Sie in das Feld Sicherheitsgruppenname einen Namen für die Sicherheitsgruppe ein, die Sie erstellen.

   2. (Optional) Geben Sie eine Beschreibung der Sicherheitsgruppe ein, die Sie erstellen.

   3. Wählen Sie für VPC die VPC aus, die Ihre EC2 Webserver-Amazon-Instance enthält.

   4. Wählen Sie Regel hinzufügen aus.

   5. Wählen Sie im Drop-down-Fenster für Typ die Option HTTPS aus.

   6. Geben Sie für Quelle einen Quellspeicherort ein.

   7. Wählen Sie Sicherheitsgruppe erstellen aus.

5. Wählen Sie im Navigationsbereich Instances aus.

6. Aktivieren Sie das Kontrollkästchen neben Ihrer Webserver-Instance.

7. Wählen Sie das Drop-down-Menü Aktionen oben auf der Seite. Wählen Sie Sicherheit und dann Sicherheitsgruppen ändern aus.

8. Wählen Sie unter Zugeordnete Sicherheitsgruppen das Suchfeld aus und wählen Sie die Sicherheitsgruppe, die Sie für HTTPS erstellt haben, aus. Wählen Sie dann Sicherheitsgruppen hinzufügen aus.

9. Wählen Sie Speichern.

So überprüfen Sie die SSL/TLS-Auslagerung mit einem Webbrowser

1. Verwenden Sie einen Web-Browser, um eine Verbindung zum Webserver unter Verwendung des öffentlichen DNS-Namen oder der IP-Adresse des Servers herzustellen. Stellen Sie sicher, dass die URL in die Adresszeile mit https:// beginnt. Beispiel, https://ec2-52-14-212-67.us-east-2.compute.amazonaws.com/.

   Tipp

   Sie können einen DNS-Dienst wie Amazon Route 53 verwenden, um den Domainnamen Ihrer Website (z. B. https://www.example.com/) an Ihren Webserver weiterzuleiten. Weitere Informationen finden Sie unter Routing Traffic to an Amazon EC2 Instance im Amazon Route 53 Developer Guide oder in der Dokumentation zu Ihrem DNS-Service.

2. Zeigen Sie das Webserverzertifikat mit Ihrem Webbrowser an. Weitere Informationen finden Sie hier:

   • Wenn Sie Mozilla Firefox nutzen, sehen Sie sich die Informationen auf der Mozilla Support-Website unter Zertifikat anzeigen an.

   • Wenn Sie Google Chrome verwenden, sehen Sie sich die Informationen auf der „Google Tools für Web Developers“-Website unter Sicherheitsprobleme verstehen an.

   Andere Webbrowser unterstützen möglicherweise ähnliche Funktionen, über die Sie das Webserverzertifikat anzeigen können.

3. Stellen Sie sicher, dass das SSL/TLS-Zertifikat dasjenige ist, das Sie für die Nutzung in Ihrem Webserver konfiguriert haben.

So überprüfen Sie die SSL/TLS-Auslagerung mit OpenSSL s_client

1. Führen Sie den folgenden OpenSSL-Befehl aus, um mittels HTTPS eine Verbindung zu Ihrem Webserver herzustellen. <server name>Ersetzen Sie es durch den öffentlichen DNS-Namen oder die IP-Adresse Ihres Webservers.

   openssl s_client -connect <server name>:443

   Tipp

   Sie können einen DNS-Dienst wie Amazon Route 53 verwenden, um den Domainnamen Ihrer Website (z. B. https://www.example.com/) an Ihren Webserver weiterzuleiten. Weitere Informationen finden Sie unter Routing Traffic to an Amazon EC2 Instance im Amazon Route 53 Developer Guide oder in der Dokumentation zu Ihrem DNS-Service.

2. Stellen Sie sicher, dass das SSL/TLS-Zertifikat dasjenige ist, das Sie für die Nutzung in Ihrem Webserver konfiguriert haben.