java - 我们应该将 KeyStore 和 TrustStore 指向同一个 .jks 文件吗？

Question

我正在使用 SSL 握手连接到 URL。为此，我生成了一个 .csr 文件并对其进行了签名。签名后我创建了一个包含 3 个条目的 my.jks 文件

1. 签署的客户证书
2. 私钥
3. CA

我使用 jetty 作为服务器，我专门将 keystore 和信任库设置为同一个 jks 文件，如下所示

-Djavax.net.ssl.keyStore=/home/keystore/my.jks
-Djavax.net.ssl.keyStorePassword=changeit
-Djavax.net.ssl.trustStore=/home/keystore/my.jks
-Djavax.net.ssl.trustStorePassword=changeit

它工作正常。但这是正确的做法吗？我认为 keystore 应该包含客户端证书和私钥，而信任库应该包含 CA。但是当我尝试这样做时，出现以下错误。

"javax.net.ssl.SSLHandshakeException: sun.security.validator.ValidatorException: PKIX path building failed: sun.security.provider.certpath.SunCertPathBuilderException: unable to find valid certification path to requested target"

请指教。

Answer 1

没有。信任库仅包含公共(public)数据:您信任的 CA 的公共(public)证书。 KeyStore 包含私钥及其证书:您的数字身份。它们甚至可能由不同的人控制。不要混淆它们的功能。