openssl - 私钥和公钥分开

Question

我想在 Java 中通过 SSL/TLS 建立客户端服务器通信。服务器是多线程的。使用 openssl，我充当了自己的 CA(为权威机构创建了私钥和自签名证书)。现在我想为我的服务器和客户端创建 key 和证书，这些 key 和证书是从我创建的 CA 签名的。

1) 我是否必须根据提示为每个客户端创建证书和 key ？还是另一种“自动化”方式，例如用脚本？

2) 我已经看到这段用于设置 keystore 的代码

 private void setupClientKeyStore() throws GeneralSecurityException, IOException     {    clientKeyStore = KeyStore.getInstance( "JKS" );    clientKeyStore.load( new FileInputStream( "client1publickey.jks" ),                       "password".toCharArray() );    }    private void setupServerKeystore() throws GeneralSecurityException, IOException    {    InputStream keyStoreResource = new FileInputStream("serverprivatekey.jks");    char[] keyStorePassphrase = "password".toCharArray();    serverKeyStore = KeyStore.getInstance("JKS");    serverKeyStore.load(keyStoreResource, keyStorePassphrase);}

我已经运行命令来查看这些条目的类型，client1publickey 是一个 TrustedCert 条目，而 serverprivatekey 是一个 PrivateKey 条目。此代码在我的服务器类上。我的客户端类上有这段代码

private void setupServerKeystore() throws GeneralSecurityException, IOException {    serverKeyStore = KeyStore.getInstance( "JKS" );    serverKeyStore.load( new FileInputStream("serverpublickwy.jks"),                         "university".toCharArray() );  }    private void setupClientKeyStore() throws GeneralSecurityException, IOException {    clientKeyStore = KeyStore.getInstance( "JKS" );    clientKeyStore.load( new FileInputStream( "client1privatekey.jks" ),                       "university".toCharArray() );} 

问题是如何单独创建这些 jks 文件？ publickey.jks 文件是证书，对吧？我怎样才能把它放在私钥的另一个文件中并从 CA 签名？还是我可以在客户端/服务器之间建立连接的另一种方式？首先，我使用 openssl 创建了 CA，然后服务器和客户端的两个 jks 文件包含了证书和 key 。

Answer 1

您在这里设置的内容看起来相当原始和脆弱。 JKS 存储实际上使用起来非常痛苦，但它们是一些 Java 库所能接受的，所以如果你被卡住了，你就被卡住了。

http://www.javacodegeeks.com/2014/07/java-keystore-tutorial.html

是关于 keytool 基础知识的相当不错的教程，keytool 是操作 key 存储的标准方法。 JKS 文件可以包含 key 对和 CSR，或 key 对和签名证书或任意数量的证书 w。没有与它们相关的 key 对。

脚本

通常我将这些脚本编写为命令行驱动的案例，它们是我需要执行的任何启动脚本的一部分。我的基本前提是，如果 key 对不离开为其创建的盒子，则它是最安全的。因此， key 对创建、密码设置和 CSR 生成是我在设置盒子时要处理的事情。使用开放式 SSL 或 keytool 不仅可以编写 key 对和 CSR 设置脚本，还可以将 CSR 发送到 CA。如果你想走完全程，你甚至可以编写脚本来查询 CA 以获取签名证书。

我倾向于在 Java 或 JEE 框架之外执行此操作。我使用适合我选择的操作系统的任何脚 native 制。

话虽如此，我相信这段代码:

http://docs.oracle.com/javase/7/docs/api/java/security/KeyStore.html

提供了如何在 Java 中设置 JKS 的示例。

特别有趣的是，看起来至少在 Java 7 中，您可以使用 PKCS 12 而不是 JKS 文件。 PKCS12 是 Java 之外的默认设置，因此很高兴看到它们加入标准。

信托店

JKS 文件或 PKCS12 也可以包含所有可信证书的 bundle 。在大多数情况下，这是 CA 或层次结构中的 CA 集。这个信任库可以大规模分布，为了简单起见，您可以将它放在您计划以这种方式配置的每个服务器的构建中。您可能还希望将包托管在可以轻松从任何服务器获取干净副本的地方。

The question is that how can I create these jks files separately? The publickey.jks file is cert, right? How can I have it in another file from the private key and be signed from CA? Or is it another way I can establish connections between client/server?

好吧，我想你是在失去我。

Java Key Stores 的基本前提是描述和签署 key 对公钥的证书与 key 对位于同一位置。任何实体(服务器或客户端)都需要恰好 1 个 JKS 文件，其中包含与其身份相关的所有信息，包括 key 对和证书。

在这种特殊情况下尝试将它们分开以便长期存储对我来说意义不大。

但是，如果您要问的是“我如何将我需要在 CA 签名的东西与我的私钥分开，这样我就不必随身携带我的私钥了？” - 这是一个很好的问题。答案是 CSR(证书签名请求)，它是一个自签名的信息 block ，仅包含公钥和您希望 CA 在签署证书时使用的一堆信息。在关键工具中做到这一点的方法是:

keytool -certreq -alias mydomain -keystore keystore.jks -storepass password -file mydomain.csr

最后你会在“mydomain.csr”中拥有它

您将使用它从 CA 取回已签名的证书，然后将其上传:

keytool -import -trustcacerts -alias mydomain -file mydomain.crt -keystore keystore.jks -storepass password