java - 如何在 Java 信任库中导入 jks 证书

Question

如何将 .jks 文件导入 java 安全的信任库？我看到的所有教程都使用“.crt”文件。但是，我只有“.jks”文件，它也是我使用 keytool 命令生成的 keystore 。

目前，我正在关注 this tutorial .

我能够生成 Java keystore 和 key 对，并根据教程为现有的 Java keystore 生成证书签名请求 (CSR)。但是我无法将根或中间 CA 证书导入现有的 Java keystore ，也无法将已签名的主证书导入现有的 Java keystore ，因为它正在寻找“.cert”文件。

我是否遗漏了教程中列出的步骤？如果我拥有的唯一文件是“.jks”文件，我如何信任证书？ “.csr”文件有什么用？

请注意，我使用的是 Windows。

Answer 1

".jks" 是信任库，或者如果您将它分配给 JSSE，至少应该是。您应该将来自您的 CA 的证书添加到该文件中。然后，该软件将通过遍历证书来查找证书链。私钥应保留在(受密码保护的)".jks" 文件中。

换句话说，您应该将证书导入 ".jks" 而不是从中导出证书。如果您的特定提供商的证书未包含在您的证书请求的响应中，您可能必须单独下载它们。您也可以从您最喜欢的浏览器中导出它们。通常这些以 X5.09 DER 格式存储(应该与 Java keytool 兼容)。

步骤(一般):

1. 生成 key 对和证书请求，存储到新的或现有的 keystore (.jks)
2. 发送要签名的证书请求，获取以您请求的证书开头的链
3. 使用私钥将证书链导入 keystore
4. 为需要进行验证的一方(使用 SSL 时至少一个或多个客户端)生成新的或使用现有的 keystore ，并导入证书链
5. 信任上述 keystore 中证书链中的证书，可能是最顶层的证书(“根”证书)。
6. 配置和测试各方，例如一个服务器使用带有私钥的 keystore ，多个客户端使用后者的 keystore 。