วิธีอิมพอร์ตใบรับรอง X.509 ที่มีอยู่และคีย์ส่วนตัวใน Java keystore เพื่อใช้ใน SSL?


228

ฉันมีสิ่งนี้ในการกำหนดค่า ActiveMQ:

<sslContext>
        <sslContext keyStore="file:/home/alex/work/amq/broker.ks"  
 keyStorePassword="password" trustStore="file:${activemq.base}/conf/broker.ts" 
 trustStorePassword="password"/>
</sslContext>

ฉันมีใบรับรอง X.509 หนึ่งคู่และไฟล์คีย์

ฉันจะนำเข้าสองรายการนี้เพื่อใช้ในตัวเชื่อมต่อ SSL และ SSL + stomp ได้อย่างไร ตัวอย่างทั้งหมดฉันสามารถ google สร้างกุญแจด้วยตัวเองได้เสมอ แต่ฉันมีรหัสแล้ว

ฉันเหนื่อย

keytool -import  -keystore ./broker.ks -file mycert.crt

แต่นี่นำเข้าใบรับรองเท่านั้นไม่ใช่ไฟล์คีย์และผลลัพธ์

2009-05-25 13:16:24,270 [localhost:61612] ERROR TransportConnector - Could not accept connection : No available certificate or key corresponds to the SSL cipher suites which are enabled.

ฉันได้พยายามต่อใบรับรองและกุญแจเข้าด้วยกัน แต่ได้ผลลัพธ์เดียวกัน

ฉันจะนำเข้ากุญแจได้อย่างไร


1
คุณต้องเขียนรหัสเล็กน้อยเพื่อทำสิ่งนี้และรายละเอียดขึ้นอยู่กับรูปแบบของคีย์ส่วนตัวที่คุณพยายามนำเข้า คีย์ของคุณรูปแบบอะไร คุณสามารถอธิบายว่าเครื่องมือใดที่คุณใช้สร้างคีย์และใบรับรองที่คุณมี
erickson

สำหรับ SSL แบบสองทาง (ใบรับรองไคลเอนต์และเซิร์ฟเวอร์) ด้วย Spring Boot ดูstackoverflow.com/a/59317888/548473
Grigory Kislin

คำตอบ:


73

เชื่อหรือไม่ว่า keytool ไม่ได้มีฟังก์ชั่นพื้นฐานเช่นการนำเข้าคีย์ส่วนตัวไปยังที่เก็บคีย์ คุณสามารถลองวิธีแก้ปัญหานี้ด้วยการรวมไฟล์ PKSC12 ด้วยรหัสส่วนตัวกับที่เก็บคีย์

หรือเพียงแค่ใช้KeyMan ที่เป็นมิตรต่อผู้ใช้มากขึ้นจาก IBM สำหรับการจัดการที่เก็บคีย์แทน keytool.exe


11
ตาม keytool คำตอบของ CoverosGene สนับสนุนตั้งแต่ Java 6 นี่คือลิงค์ที่เขาให้
Houtman

สำหรับสิ่งที่คุ้มค่าสำหรับเสียงรบกวนทั้งหมดในหัวข้อนี้ลิงก์ที่ดีที่สุดคือลิงก์ 'วิธีแก้ปัญหา' ของ @ Matej ไปยังโพสต์ 2008: cunning.sharp.fm/2008/06/importing_private_keys_into_a.html
cloudsurf

2
ฉันทำตามคำตอบของ CoverosGene แล้วและมันก็ใช้ได้
Robert3452

1
KeyMan ดูเหมือนจะไม่ทั้งหมดที่ใช้งานง่ายสำหรับฉัน
สารเลว

15
ลิงค์เสีย โปรดระบุรายละเอียดของการแก้ปัญหาโดยตรงในคำตอบ :-(
lilalinux

536

ฉันใช้สองขั้นตอนต่อไปนี้ซึ่งฉันพบในข้อคิดเห็น / โพสต์ที่ลิงก์ในคำตอบอื่น ๆ :

ขั้นตอนที่หนึ่ง: แปลงใบรับรอง x.509 และคีย์เป็นไฟล์ pkcs12

openssl pkcs12 -export -in server.crt -inkey server.key \
               -out server.p12 -name [some-alias] \
               -CAfile ca.crt -caname root

หมายเหตุ:ตรวจสอบให้แน่ใจว่าคุณใส่รหัสผ่านในไฟล์ pkcs12 มิฉะนั้นคุณจะได้รับข้อยกเว้นตัวชี้ null เมื่อคุณพยายามนำเข้า (ในกรณีที่คนอื่นมีอาการปวดหัวนี้) ( ขอบคุณ jocull! )

หมายเหตุ 2:คุณอาจต้องการเพิ่ม-chainตัวเลือกเพื่อรักษาสายใบรับรองทั้งหมด ( ขอบคุณ Mafuba )

ขั้นตอนที่สอง: แปลงไฟล์ pkcs12 เป็นที่เก็บคีย์ Java

keytool -importkeystore \
        -deststorepass [changeit] -destkeypass [changeit] -destkeystore server.keystore \
        -srckeystore server.p12 -srcstoretype PKCS12 -srcstorepass some-password \
        -alias [some-alias]

เสร็จ

ทางเลือกขั้นตอนที่ศูนย์: สร้างใบรับรองที่ลงนามเอง

openssl genrsa -out server.key 2048
openssl req -new -out server.csr -key server.key
openssl x509 -req -days 365 -in server.csr -signkey server.key -out server.crt

ไชโย!


12
ตรวจสอบให้แน่ใจว่าคุณใส่รหัสผ่านในไฟล์ p12 มิฉะนั้นคุณจะได้รับข้อยกเว้นการอ้างอิงว่างเมื่อคุณพยายามนำเข้า (ในกรณีที่ใครมีอาการปวดหัวนี้)
jocull

9
ในกรณีของฉันในขั้นตอนที่หนึ่งตัวเลือก-CAfile ca.crt -caname rootไม่ถูกต้องออกใบรับรอง CA ฉันใช้แทน-certfile concatenedCAFiles.pem
dcernahoschi

11
อย่าลืมใช้-chainอาร์กิวเมนต์กับ openssl เพื่อรวมห่วงโซ่ใบรับรองแบบเต็มในไฟล์ pfx / p12 ของคุณหากคุณต้องการในที่จัดเก็บคีย์
Mafuba

3
ในสภาพแวดล้อมของ Windows pvk2pfx(เครื่องมือ VS มาตรฐานที่มีอยู่ใน VS cmdพรอมต์) จะคายออก.pfx--equivalent .p12ไป คำแนะนำของ @ jocull ยังมีความเกี่ยวข้อง ใส่รหัสผ่าน ไม่opensslต้องการ
Ben Mosher

9
สำหรับ Tomcat โดยเฉพาะมีความจำเป็นที่ที่เก็บคีย์และรหัสผ่านคีย์เหมือนกัน เมื่อคุณนำเข้า.p12ที่สำคัญจะมีรหัสผ่านของเดิม.p12.Tomcat java.security.UnrecoverableKeyException: Cannot recover keyจะล้มเหลวด้วย กล่าวอีกนัยหนึ่ง: หากคุณจำเป็นต้องดำเนินการ-deststorepass changeit -srcstorepass some-passwordด้วยรหัสผ่านที่แตกต่างกันคุณจะต้องรวม-destkeypass changeit(ด้วยรหัสผ่านเดียวกัน-deststorepass)
Slav

127

Keytool ใน Java 6 มีความสามารถนี้: การอิมพอร์ตคีย์ส่วนตัวไปยังที่เก็บคีย์ Java โดยใช้ keytool

นี่คือรายละเอียดพื้นฐานจากโพสต์นั้น

  1. แปลงใบรับรองที่มีอยู่เป็น PKCS12 โดยใช้ OpenSSL ต้องใช้รหัสผ่านเมื่อถูกถามมิฉะนั้นขั้นตอนที่ 2 จะบ่น

    openssl pkcs12 -export -in [my_certificate.crt] -inkey [my_key.key] -out [keystore.p12] -name [new_alias] -CAfile [my_ca_bundle.crt] -caname root
  2. แปลง PKCS12 เป็นไฟล์ Java Keystore

    keytool -importkeystore -deststorepass [new_keystore_pass] -destkeypass [new_key_pass] -destkeystore [keystore.jks] -srckeystore [keystore.p12] -srcstoretype PKCS12 -srcstorepass [pass_used_in_p12_keystore] -alias [alias_used_in_p12_keystore]

4
คำตอบโดย @reto มีเนื้อหาของลิงค์นี้
Mafuba

4
ตามที่ระบุโดย @Mafuba คุณยังคงต้องสร้าง pkcs12 keystore แยกต่างหากด้วยเครื่องมือที่ไม่ใช่จาวาเช่น openssl - จากนั้นสามารถนำเข้าสู่ที่เก็บ jks โดย keytool ตามที่ระบุไว้ในคำตอบโดย reto
Mister_Tom

สิ่งหนึ่งที่ทำให้คำตอบนี้เป็นคำตอบที่ดีคือข้อเท็จจริงที่ว่ามีการระบุอินพุตไว้อย่างชัดเจนในวงเล็บ
Mr.Budris

FWIW ผลลัพธ์ของขั้นตอนที่ 1 ควรใช้งานเป็นที่เก็บคีย์ Java ได้แล้ว (ดังนั้นขั้นตอนที่ 2 อาจไม่จำเป็น - ถ้าคุณไม่จำเป็นต้องนำเข้าคีย์ใบรับรอง + ลงในที่เก็บคีย์ที่มีอยู่ ) - ดังที่ได้กล่าวไว้แล้วในคำตอบก่อนหน้านี้โดย @ jaco0646
Janaka Bandara

9

และอีกหนึ่ง:

#!/bin/bash

# We have:
#
# 1) $KEY : Secret key in PEM format ("-----BEGIN RSA PRIVATE KEY-----") 
# 2) $LEAFCERT : Certificate for secret key obtained from some
#    certification outfit, also in PEM format ("-----BEGIN CERTIFICATE-----")   
# 3) $CHAINCERT : Intermediate certificate linking $LEAFCERT to a trusted
#    Self-Signed Root CA Certificate 
#
# We want to create a fresh Java "keystore" $TARGET_KEYSTORE with the
# password $TARGET_STOREPW, to be used by Tomcat for HTTPS Connector.
#
# The keystore must contain: $KEY, $LEAFCERT, $CHAINCERT
# The Self-Signed Root CA Certificate is obtained by Tomcat from the
# JDK's truststore in /etc/pki/java/cacerts

# The non-APR HTTPS connector (APR uses OpenSSL-like configuration, much
# easier than this) in server.xml looks like this 
# (See: https://tomcat.apache.org/tomcat-6.0-doc/ssl-howto.html):
#
#  <Connector port="8443" protocol="org.apache.coyote.http11.Http11Protocol"
#                SSLEnabled="true"
#                maxThreads="150" scheme="https" secure="true"
#                clientAuth="false" sslProtocol="TLS"
#                keystoreFile="/etc/tomcat6/etl-web.keystore.jks"
#                keystorePass="changeit" />
#

# Let's roll:    

TARGET_KEYSTORE=/etc/tomcat6/foo-server.keystore.jks
TARGET_STOREPW=changeit

TLS=/etc/pki/tls

KEY=$TLS/private/httpd/foo-server.example.com.key
LEAFCERT=$TLS/certs/httpd/foo-server.example.com.pem
CHAINCERT=$TLS/certs/httpd/chain.cert.pem

# ----
# Create PKCS#12 file to import using keytool later
# ----

# From https://www.sslshopper.com/ssl-converter.html:
# The PKCS#12 or PFX format is a binary format for storing the server certificate,
# any intermediate certificates, and the private key in one encryptable file. PFX
# files usually have extensions such as .pfx and .p12. PFX files are typically used 
# on Windows machines to import and export certificates and private keys.

TMPPW=$$ # Some random password

PKCS12FILE=`mktemp`

if [[ $? != 0 ]]; then
  echo "Creation of temporary PKCS12 file failed -- exiting" >&2; exit 1
fi

TRANSITFILE=`mktemp`

if [[ $? != 0 ]]; then
  echo "Creation of temporary transit file failed -- exiting" >&2; exit 1
fi

cat "$KEY" "$LEAFCERT" > "$TRANSITFILE"

openssl pkcs12 -export -passout "pass:$TMPPW" -in "$TRANSITFILE" -name etl-web > "$PKCS12FILE"

/bin/rm "$TRANSITFILE"

# Print out result for fun! Bug in doc (I think): "-pass " arg does not work, need "-passin"

openssl pkcs12 -passin "pass:$TMPPW" -passout "pass:$TMPPW" -in "$PKCS12FILE" -info

# ----
# Import contents of PKCS12FILE into a Java keystore. WTF, Sun, what were you thinking?
# ----

if [[ -f "$TARGET_KEYSTORE" ]]; then
  /bin/rm "$TARGET_KEYSTORE"
fi

keytool -importkeystore \
   -deststorepass  "$TARGET_STOREPW" \
   -destkeypass    "$TARGET_STOREPW" \
   -destkeystore   "$TARGET_KEYSTORE" \
   -srckeystore    "$PKCS12FILE" \
   -srcstoretype  PKCS12 \
   -srcstorepass  "$TMPPW" \
   -alias foo-the-server

/bin/rm "$PKCS12FILE"

# ----
# Import the chain certificate. This works empirically, it is not at all clear from the doc whether this is correct
# ----

echo "Importing chain"

TT=-trustcacerts

keytool -import $TT -storepass "$TARGET_STOREPW" -file "$CHAINCERT" -keystore "$TARGET_KEYSTORE" -alias chain

# ----
# Print contents
# ----

echo "Listing result"

keytool -list -storepass "$TARGET_STOREPW" -keystore "$TARGET_KEYSTORE"

9

แปลงเป็น p12 เป็นครั้งแรก:

openssl pkcs12 -export -in [filename-certificate] -inkey [filename-key] -name [host] -out [filename-new-PKCS-12.p12]

สร้าง JKS ใหม่จาก p12:

keytool -importkeystore -deststorepass [password] -destkeystore [filename-new-keystore.jks] -srckeystore [filename-new-PKCS-12.p12] -srcstoretype PKCS12

8

ใช่มันเป็นความจริงที่น่าเศร้าที่ keytool ไม่มีฟังก์ชั่นในการนำเข้าคีย์ส่วนตัว

สำหรับการบันทึกในตอนท้ายฉันไปกับวิธีการแก้ปัญหาที่อธิบายไว้ที่นี่


6

ในกรณีของฉันฉันมีไฟล์ pem ซึ่งมีใบรับรองสองใบและรหัสส่วนตัวที่เข้ารหัสไว้เพื่อใช้ในการตรวจสอบ SSL ร่วมกัน ดังนั้นไฟล์ pem ของฉันดูเหมือนว่า:

-----BEGIN CERTIFICATE-----
...
-----END CERTIFICATE-----
-----BEGIN RSA PRIVATE KEY-----
Proc-Type: 4,ENCRYPTED
DEK-Info: DES-EDE3-CBC,C8BF220FC76AA5F9
...
-----END RSA PRIVATE KEY-----
-----BEGIN CERTIFICATE-----
...
-----END CERTIFICATE-----

นี่คือสิ่งที่ฉันทำ:

แบ่งไฟล์ออกเป็นสามไฟล์แยกกันเพื่อให้แต่ละไฟล์มีเพียงหนึ่งรายการเริ่มต้นด้วยบรรทัด "--- BEGIN .. " และลงท้ายด้วยบรรทัด "--- END .. " สมมติว่าเรามีไฟล์สามไฟล์: cert1.pem cert2.pem และ pkey.pem

แปลง pkey.pem เป็นรูปแบบ DER โดยใช้ openssl และไวยากรณ์ต่อไปนี้:

openssl pkcs8 -topk8 -nocrypt -in pkey.pem -inform PEM -out pkey.der -outform DER

โปรดทราบว่าหากรหัสส่วนตัวถูกเข้ารหัสคุณต้องระบุรหัสผ่าน (ขอรับรหัสจากผู้จำหน่ายไฟล์ pem ดั้งเดิม) เพื่อแปลงเป็นรูปแบบ DER, openssl จะขอรหัสผ่านเช่นนี้: "ป้อนรหัสผ่าน phraze สำหรับ pkey .pem: "หากการแปลงสำเร็จคุณจะได้รับไฟล์ใหม่ชื่อ" pkey.der "

สร้างที่เก็บคีย์ java ใหม่และอิมพอร์ตไพรเวตคีย์และใบรับรอง:

String keypass = "password";  // this is a new password, you need to come up with to protect your java key store file
String defaultalias = "importkey";
KeyStore ks = KeyStore.getInstance("JKS", "SUN");

// this section does not make much sense to me, 
// but I will leave it intact as this is how it was in the original example I found on internet:   
ks.load( null, keypass.toCharArray());
ks.store( new FileOutputStream ( "mykeystore"  ), keypass.toCharArray());
ks.load( new FileInputStream ( "mykeystore" ),    keypass.toCharArray());
// end of section..


// read the key file from disk and create a PrivateKey

FileInputStream fis = new FileInputStream("pkey.der");
DataInputStream dis = new DataInputStream(fis);
byte[] bytes = new byte[dis.available()];
dis.readFully(bytes);
ByteArrayInputStream bais = new ByteArrayInputStream(bytes);

byte[] key = new byte[bais.available()];
KeyFactory kf = KeyFactory.getInstance("RSA");
bais.read(key, 0, bais.available());
bais.close();

PKCS8EncodedKeySpec keysp = new PKCS8EncodedKeySpec ( key );
PrivateKey ff = kf.generatePrivate (keysp);


// read the certificates from the files and load them into the key store:

Collection  col_crt1 = CertificateFactory.getInstance("X509").generateCertificates(new FileInputStream("cert1.pem"));
Collection  col_crt2 = CertificateFactory.getInstance("X509").generateCertificates(new FileInputStream("cert2.pem"));

Certificate crt1 = (Certificate) col_crt1.iterator().next();
Certificate crt2 = (Certificate) col_crt2.iterator().next();
Certificate[] chain = new Certificate[] { crt1, crt2 };

String alias1 = ((X509Certificate) crt1).getSubjectX500Principal().getName();
String alias2 = ((X509Certificate) crt2).getSubjectX500Principal().getName();

ks.setCertificateEntry(alias1, crt1);
ks.setCertificateEntry(alias2, crt2);

// store the private key
ks.setKeyEntry(defaultalias, ff, keypass.toCharArray(), chain );

// save the key store to a file         
ks.store(new FileOutputStream ( "mykeystore" ),keypass.toCharArray());

(ไม่บังคับ) ยืนยันเนื้อหาของที่จัดเก็บคีย์ใหม่ของคุณ:

keytool -list -keystore mykeystore -storepass password

ประเภท Keystore: JKS ผู้ให้บริการ Keystore: SUN

ที่เก็บคีย์ของคุณมี 3 รายการ

cn = ... , ou = ... , o = .. , 2 ก.ย. 2014, TrustedCertEntry, ลายนิ้วมือใบรับรอง (SHA1): 2C: B8: ...

importkey, 2 ก.ย. 2014, PrivateKeyEntry, ลายนิ้วมือใบรับรอง (SHA1): 9C: B0: ...

cn = ... , o = .... , 2 ก.ย. 2014, TrustedCertEntry, ลายนิ้วมือใบรับรอง (SHA1): 83:63: ...

(ไม่บังคับ) ทดสอบใบรับรองและคีย์ส่วนตัวของคุณจากที่เก็บคีย์ใหม่กับเซิร์ฟเวอร์ SSL ของคุณ: (คุณอาจต้องการเปิดใช้งานการดีบักเป็นตัวเลือก VM: -Djavax.net.debug = ทั้งหมด)

        char[] passw = "password".toCharArray();
        KeyStore ks = KeyStore.getInstance("JKS", "SUN");
        ks.load(new FileInputStream ( "mykeystore" ), passw );

        KeyManagerFactory kmf = KeyManagerFactory.getInstance("SunX509");
        kmf.init(ks, passw);

        TrustManagerFactory tmf = TrustManagerFactory.getInstance(TrustManagerFactory.getDefaultAlgorithm());
        tmf.init(ks);
        TrustManager[] tm = tmf.getTrustManagers();

        SSLContext sclx = SSLContext.getInstance("TLS");
        sclx.init( kmf.getKeyManagers(), tm, null);

        SSLSocketFactory factory = sclx.getSocketFactory();
        SSLSocket socket = (SSLSocket) factory.createSocket( "192.168.1.111", 443 );
        socket.startHandshake();

        //if no exceptions are thrown in the startHandshake method, then everything is fine..

สุดท้ายลงทะเบียนใบรับรองของคุณด้วย HttpsURLConnection หากวางแผนที่จะใช้:

        char[] passw = "password".toCharArray();
        KeyStore ks = KeyStore.getInstance("JKS", "SUN");
        ks.load(new FileInputStream ( "mykeystore" ), passw );

        KeyManagerFactory kmf = KeyManagerFactory.getInstance("SunX509");
        kmf.init(ks, passw);

        TrustManagerFactory tmf = TrustManagerFactory.getInstance(TrustManagerFactory.getDefaultAlgorithm());
        tmf.init(ks);
        TrustManager[] tm = tmf.getTrustManagers();

        SSLContext sclx = SSLContext.getInstance("TLS");
        sclx.init( kmf.getKeyManagers(), tm, null);

        HostnameVerifier hv = new HostnameVerifier()
        {
            public boolean verify(String urlHostName, SSLSession session)
            {
                if (!urlHostName.equalsIgnoreCase(session.getPeerHost()))
                {
                    System.out.println("Warning: URL host '" + urlHostName + "' is different to SSLSession host '" + session.getPeerHost() + "'.");
                }
                return true;
            }
        };

        HttpsURLConnection.setDefaultSSLSocketFactory( sclx.getSocketFactory() );
        HttpsURLConnection.setDefaultHostnameVerifier(hv);

อย่างไรก็ตามบรูโน่กล่าวว่าตัวตรวจสอบชื่อโฮสต์นี้ไม่ถูกต้อง: "ตัวตรวจสอบชื่อโฮสต์ของคุณไม่ถูกต้อง session.getPeerHost () ไม่ส่งคืนชื่อในใบรับรอง แต่ชื่อที่คุณเชื่อมต่อด้วย (เช่น urlHostName ที่นี่) ดังนั้นมันจะเกิดขึ้นตลอดเวลา เป็นจริงคุณจะกลับมาจริงเสมออยู่แล้ว - Bruno " มันใช้งานได้สำหรับฉัน แต่ฉันจะขอบคุณถ้ามีคนแสดงวิธีการเขียนตัวตรวจสอบชื่อโฮสต์ที่ดี
Interkot

1
แน่นอนว่ามันจะ "ทำงาน" สำหรับคุณเนื่องจากมันจะไม่เกิดข้อผิดพลาดแม้ว่าจะควร ปล่อยให้ตัวตรวจสอบชื่อโฮสต์เริ่มต้นที่ใช้HttpsURLConnectionแทนการพยายามเขียนของคุณเอง (อีกปัญหาหนึ่งกับตัวอย่างของคุณคือคุณใช้ keystore เดียวกับ keystore และ truststore ซึ่งไม่ใช่ความคิดที่ดีเสมอไป ... )
Bruno

6

ใช้ Let's Encrypt ใบรับรอง

สมมติว่าคุณได้สร้างใบรับรองและกุญแจส่วนตัวด้วยLet's Encryptใน/etc/letsencrypt/live/you.com:

1. สร้างไฟล์PKCS # 12

openssl pkcs12 -export -in fullchain.pem -inkey privkey.pem -out pkcs.p12 \
        -name letsencrypt

สิ่งนี้รวมใบรับรอง SSL ของคุณfullchain.pemและกุญแจส่วนตัวของคุณprivkey.pemเป็นไฟล์เดียว, pkcs.p12.

pkcs.p12คุณจะได้รับแจ้งสำหรับรหัสผ่านสำหรับ

exportตัวเลือกระบุว่าไฟล์ PKCS # 12 จะถูกสร้างขึ้นมากกว่าการแยกวิเคราะห์ (จากคู่มือการใช้งาน )

2. สร้างที่เก็บคีย์ Java

keytool -importkeystore -destkeystore keystore.jks -srckeystore pkcs.p12 \
        -srcstoretype PKCS12 -alias letsencrypt

หากkeystore.jksไม่มีอยู่ไฟล์นั้นจะถูกสร้างขึ้นโดยมีpkcs.12ไฟล์ที่สร้างขึ้นด้านบน มิฉะนั้นคุณจะนำเข้าpkcs.12สู่ที่เก็บข้อมูลที่มีอยู่


คำแนะนำเหล่านี้ได้มาจากการโพสต์บล็อกนี้

ต่อไปนี้เป็นไฟล์ประเภท/etc/letsencrypt/live/you.com/อื่น


5

จากคำตอบข้างต้นนี่คือวิธีการสร้างที่เก็บคีย์ใหม่สำหรับเว็บเซิร์ฟเวอร์ที่ใช้ Java ของคุณจาก Comodo ใบรับรองและคีย์ส่วนตัวที่สร้างขึ้นอย่างอิสระโดยใช้ keytool (ต้องการ JDK 1.6+)

  1. ออกคำสั่งนี้และใส่รหัสผ่านเพื่อป้อนรหัสผ่าน - 'server.crt' คือใบรับรองของเซิร์ฟเวอร์ของคุณและ 'server.key' เป็นรหัสส่วนตัวที่คุณใช้ในการออก CSR: openssl pkcs12 -export -in server.crt -inkey server.key -out server.p12 -name www.yourdomain.com -CAfile AddTrustExternalCARoot.crt -caname "AddTrust External CA Root"

  2. จากนั้นใช้ keytool เพื่อแปลงที่เก็บคีย์ p12 เป็นที่เก็บคีย์ jks: keytool -importkeystore -deststorepass somepass -destkeypass somepass -destkeystore keystore.jks -srckeystore server.p12 -srcstoretype PKCS12 -srcstorepass somepass

จากนั้นนำเข้าอีกสองใบรับรองหลัก / สื่อกลางที่คุณได้รับจาก Comodo:

  1. นำเข้า COMODORSAAddTrustCA.crt: keytool -import -trustcacerts -alias cert1 -file COMODORSAAddTrustCA.crt -keystore keystore.jks

  2. นำเข้า COMODORSADomainValidationSecureServerCA.crt: keytool -import -trustcacerts -alias cert2 -file COMODORSADomainValidationSecureServerCA.crt -keystore keystore.jks


4

คุณสามารถใช้ขั้นตอนเหล่านี้เพื่ออิมพอร์ตคีย์ไปยังที่เก็บคีย์ที่มีอยู่ คำแนะนำจะรวมกันจากคำตอบในกระทู้นี้และเว็บไซต์อื่น ๆ คำแนะนำเหล่านี้ใช้ได้สำหรับฉัน (ที่เก็บคีย์ java):

  1. วิ่ง

openssl pkcs12 -export -in yourserver.crt -inkey yourkey.key -out server.p12 -name somename -certfile yourca.crt -caname root

(หากจำเป็นต้องใส่ตัวเลือก -chain การวางที่ล้มเหลวสำหรับฉัน) นี้จะขอรหัสผ่าน - คุณต้องให้รหัสผ่านที่ถูกต้องอื่นคุณจะได้รับข้อผิดพลาด (ข้อผิดพลาดส่วนหัวหรือข้อผิดพลาดการแพ็ดดิ้ง ฯลฯ )

  1. มันจะขอให้คุณป้อนรหัสผ่านใหม่ - คุณต้องป้อนรหัสผ่านที่นี่ - ป้อนอะไรก็ได้ แต่จำไว้ (ให้เราสมมติว่าคุณป้อนอารากอร์น)
  2. สิ่งนี้จะสร้างไฟล์ server.p12 ในรูปแบบ pkcs
  3. ตอนนี้จะนำเข้าสู่การ*.jksเรียกใช้ไฟล์:
    keytool -importkeystore -srckeystore server.p12 -srcstoretype PKCS12 -destkeystore yourexistingjavakeystore.jks -deststoretype JKS -deststorepass existingjavastorepassword -destkeypass existingjavastorepassword
    (สำคัญมาก - อย่าทิ้งพารามิเตอร์ deststorepass และพารามิเตอร์ destkeypass)
  4. มันจะถามคุณสำหรับรหัสผ่านที่เก็บคีย์ src ป้อน Aragorn และกด Enter ใบรับรองและคีย์จะถูกนำเข้าไปยังที่เก็บคีย์ java ปัจจุบันของคุณ

3

คำตอบก่อนหน้าชี้ให้เห็นอย่างถูกต้องว่าคุณสามารถทำได้ด้วยเครื่องมือ JDK มาตรฐานโดยการแปลงไฟล์ JKS เป็นรูปแบบ PKCS # 12 ก่อน หากคุณสนใจฉันได้รวบรวมยูทิลิตี้ขนาดกะทัดรัดเพื่อนำเข้าคีย์ที่ได้จาก OpenSSL ไปยังที่เก็บคีย์ที่จัดรูปแบบ JKS โดยไม่ต้องแปลงที่เก็บคีย์เป็น PKCS # 12 ก่อน: http://commandlinefanatic.com/cgi-bin/showarticle cgi? บทความ = art049

คุณจะใช้ยูทิลิตีที่ลิงก์เช่นนี้:

$ openssl req -x509 -newkey rsa:2048 -keyout localhost.key -out localhost.csr -subj "/CN=localhost"

(ลงชื่อใน CSR กลับไปที่ localhost.cer)

$ openssl rsa -in localhost.key -out localhost.rsa
Enter pass phrase for localhost.key:
writing RSA key
$ java -classpath . KeyImport -keyFile localhost.rsa -alias localhost -certificateFile localhost.cer -keystore localhost.jks -keystorePassword changeit -keystoreType JKS -keyPassword changeit

เพียงเชื่อมโยงไปยังห้องสมุดของคุณเอง (หรือยูทิลิตี้) ไม่ใช่คำตอบที่ดี การเชื่อมโยงไปยังการอธิบายว่าทำไมมันถึงแก้ไขปัญหาโดยให้รหัสที่ใช้ในการทำเช่นนั้นและการปฏิเสธความรับผิดชอบทำให้คำตอบดีขึ้น ดู: ฉันจะเชื่อมโยงไปยังแหล่งข้อมูลภายนอกในวิธีที่เป็นมิตรกับชุมชนได้อย่างไร
Mogsdad

ไม่แน่ใจว่าคุณหมายถึงอะไรโดย "สละสิทธิ์" แต่ฉันเพิ่มตัวอย่าง
Joshua Davies

ที่ดี! นั่นเป็นความคิดเห็นกระป๋องดังนั้นไม่มีส่วนใดเลย - ปฏิเสธหมายถึงการรายงานความร่วมมือของคุณกับผลิตภัณฑ์หรือบริการที่เชื่อมโยงซึ่งคุณทำกับ "ฉันรวบรวม ... "
Mogsdad

3

หากคุณมีไฟล์ PEM (เช่นserver.pem) ที่มี:

  • ใบรับรองที่เชื่อถือได้
  • รหัสส่วนตัว

จากนั้นคุณสามารถนำเข้าใบรับรองและคีย์ไปยังที่เก็บคีย์ JKS เช่นนี้:

1 ) คัดลอกคีย์ส่วนตัวจากไฟล์ PEM ไปยังไฟล์ ascii (เช่นserver.key)

2 ) คัดลอกใบรับรองจากไฟล์ PEM ไปยังไฟล์ ascii (เช่นserver.crt)

3 ) ส่งออกใบรับรองและคีย์ไปยังไฟล์ PKCS12:

$ openssl pkcs12 -export -in server.crt -inkey server.key \
                 -out server.p12 -name [some-alias] -CAfile server.pem -caname root
  • ไฟล์พีอีเอ็มสามารถนำมาใช้เป็นอาร์กิวเมนต์ไปยัง-CAfileตัวเลือก
  • คุณได้รับการพร้อมท์สำหรับรหัสผ่าน 'ส่งออก'
  • หากทำสิ่งนี้ใน git bash winptyให้เพิ่มคำสั่งเริ่มต้นเพื่อให้สามารถป้อนรหัสผ่านการส่งออกได้

4 ) แปลงไฟล์ PKCS12 เป็นที่เก็บคีย์ JKS:

$ keytool -importkeystore -deststorepass changeit -destkeypass changeit \
          -destkeystore keystore.jks  -srckeystore server.p12 -srcstoretype PKCS12 \
          -srcstorepass changeit
  • srcstorepassรหัสผ่านควรตรงกับรหัสผ่านการส่งออกจากขั้นตอนที่ 3)

3

สิ่งที่ฉันพยายามทำให้สำเร็จคือการใช้คีย์ส่วนตัวและใบรับรองเพื่อลงชื่อข้อความที่กำลังจะไปที่ไหนสักแห่งที่จำเป็นเพื่อให้แน่ใจว่าข้อความนั้นมาจากฉัน (คีย์ส่วนตัวลงชื่อในขณะที่กุญแจสาธารณะเข้ารหัส)

ดังนั้นหากคุณมีไฟล์. key และไฟล์. crt อยู่แล้ว

ลองสิ่งนี้:

ขั้นที่ 1:แปลงคีย์และรับรองเป็นไฟล์. p12

openssl pkcs12 -export -in certificate.crt -inkey privateKey.key -name alias -out yourconvertedfile.p12

ขั้นตอนที่ 2:นำเข้ากุญแจและสร้างไฟล์. jsk ด้วยคำสั่งเดียว

keytool -importkeystore -deststorepass changeit -destkeystore keystore.jks -srckeystore umeme.p12 -srcstoretype PKCS12

ขั้นตอนที่ 3:ในจาวาของคุณ:

char[] keyPassword = "changeit".toCharArray();

KeyStore keyStore = KeyStore.getInstance("JKS");
InputStream keyStoreData = new FileInputStream("keystore.jks");

keyStore.load(keyStoreData, keyPassword);
KeyStore.ProtectionParameter entryPassword = new KeyStore.PasswordProtection(keyPassword);
KeyStore.PrivateKeyEntry privateKeyEntry = (KeyStore.PrivateKeyEntry)keyStore.getEntry("alias", entryPassword);

System.out.println(privateKeyEntry.toString());

หากคุณต้องการเซ็นสตริงโดยใช้คีย์นี้ให้ทำดังนี้:

ขั้นตอนที่ 1: แปลงข้อความที่คุณต้องการเข้ารหัส

byte[] data = "test".getBytes("UTF8");

ขั้นตอนที่ 2: รับรหัสส่วนตัว base64

keyStore.load(keyStoreData, keyPassword);

//get cert, pubkey and private key from the store by alias
Certificate cert = keyStore.getCertificate("localhost");
PublicKey publicKey = cert.getPublicKey();
KeyPair keyPair = new KeyPair(publicKey, (PrivateKey) key);

//sign with this alg
Signature sig = Signature.getInstance("SHA1WithRSA");
sig.initSign(keyPair.getPrivate());
sig.update(data);
byte[] signatureBytes = sig.sign();
System.out.println("Signature:" + Base64.getEncoder().encodeToString(signatureBytes));

sig.initVerify(keyPair.getPublic());
sig.update(data);

System.out.println(sig.verify(signatureBytes));

อ้างอิง:

  1. วิธีการนำเข้าใบรับรอง x509 ที่มีอยู่และคีย์ส่วนตัวใน Java keystore เพื่อใช้ใน SSL
  2. http://tutorials.jenkov.com/java-cryptography/keystore.html
  3. http://www.java2s.com/Code/Java/Security/RetrievingaKeyPairfromaKeyStore.htm
  4. วิธีการเซ็นสตริงด้วยคีย์ส่วนตัว

โปรแกรมสุดท้าย

public static void main(String[] args) throws Exception {

    byte[] data = "test".getBytes("UTF8");

    // load keystore
    char[] keyPassword = "changeit".toCharArray();

    KeyStore keyStore = KeyStore.getInstance("JKS");
    //System.getProperty("user.dir") + "" < for a file in particular path 
    InputStream keyStoreData = new FileInputStream("keystore.jks");
    keyStore.load(keyStoreData, keyPassword);

    Key key = keyStore.getKey("localhost", keyPassword);

    Certificate cert = keyStore.getCertificate("localhost");

    PublicKey publicKey = cert.getPublicKey();

    KeyPair keyPair = new KeyPair(publicKey, (PrivateKey) key);

    Signature sig = Signature.getInstance("SHA1WithRSA");

    sig.initSign(keyPair.getPrivate());
    sig.update(data);
    byte[] signatureBytes = sig.sign();
    System.out.println("Signature:" + Base64.getEncoder().encodeToString(signatureBytes));

    sig.initVerify(keyPair.getPublic());
    sig.update(data);

    System.out.println(sig.verify(signatureBytes));
}

1

เพียงสร้างที่เก็บคีย์ PKCS12 Java สามารถใช้งานได้ทันที ในความเป็นจริงถ้าคุณแสดงรายการ keystore สไตล์ Java keytool จะแจ้งเตือนคุณถึงข้อเท็จจริงที่ว่า PKCS12 เป็นรูปแบบที่ต้องการในขณะนี้

openssl pkcs12 -export -in server.crt -inkey server.key \
               -out server.p12 -name [some-alias] \
               -CAfile ca.crt -caname root -chain

คุณควรได้รับทั้งสามไฟล์ (server.crt, server.key, ca.crt) จากผู้ให้บริการออกใบรับรองของคุณ ฉันไม่แน่ใจว่า "root -caname" หมายถึงอะไรจริง ๆ แต่ดูเหมือนว่าจะต้องมีการระบุวิธีการที่

ในโค้ด Java ตรวจสอบให้แน่ใจว่าระบุชนิดที่เก็บคีย์ที่ถูกต้อง

KeyStore.getInstance("PKCS12")

ฉันได้รับใบรับรอง SSL ที่ออกโดย comodo.com ของฉันทำงานได้ดีใน NanoHTTPD ด้วยวิธีนี้


โดยการใช้ไซต์ของเรา หมายความว่าคุณได้อ่านและทำความเข้าใจนโยบายคุกกี้และนโยบายความเป็นส่วนตัวของเราแล้ว
Licensed under cc by-sa 3.0 with attribution required.