Tomcat8 SSL-Abfrage

Question

Ich habe Tomcat8 auf einem Ubuntu-Server 16.04TLS installiert.

Ich möchte SSL/TLS aktivieren, um sicherzustellen, dass meine Benutzer (Website) gut vor Netzwerkangreifern geschützt sind, z. B. Personen, die die Verbindung überwachen.

Ich erwog, ein SSL-Zertifikat kaufen entweder kaufen für $ 9, generieren meine eigenen, oder mit einem Service wie letsencrypt.

Frage: Was ist der Unterschied zwischen der Aktivierung der Datei SSL Tomcat server.xml und der Verwendung eines SSL-Zertifikats? Gibt es Vorteile füreinander?

Ich glaube, dass das Aktivieren von SSL die Verbindung verschlüsselt, aber ein Zertifikat bedeutet, dass Benutzer, die die Website besuchen, in der Browserleiste ein HTTPS-Vorhängeschloss erhalten.

Ich bin aber immer noch ziemlich neu zu all dies. Ich würde lieber kein Geld ausgeben, um ein Zertifikat zu kaufen und es täglich zu erneuern.

Answer 1

SSL hat zwei Hauptfunktionen: sichere Authentifizierung und sichere Kommunikation. Durch die Konfiguration von Tomcat über https - Sie haben bereits die sichere Kommunikation. Der gesamte Verkehr wird verschlüsselt.

Wenn Sie auch sichere Authentifizierung wollen, das heißt - stellen Sie sicher, dass wenn ein Benutzer Ihre Website besucht, er eine Möglichkeit hat zu wissen, dass es wirklich Ihre Website ist, dann müssen Sie Zertifikate verwenden.

Aber ein solches Zertifikat ist wertlos, wenn es nicht von einer bekannten vertrauenswürdigen Quelle signiert ist. Mit anderen Worten, wenn Sie ein selbstsigniertes Zertifikat auf der Site platzieren, wird es von einer unbekannten Quelle signiert und der Browser zeigt die Warnung an.

Also zum Schluss: Wenn Sie nur verschlüsseln wollen - setzen Sie einfach server.xml entsprechend. Wenn Sie ein gültiges Zertifikat haben möchten (Benutzer können auf das kleine Vorhängeschloss-Symbol klicken und Zertifikat-Domain-Informationen abrufen) -