java - JSSE 是否使用 PrivateKeyEntry 中的证书作为信任 anchor ？

Question

如果包含一个或多个 PrivateKeyEntry 的 keystore 被指定为信任库，JSSE 是否会根据每个条目中的最终实体证书创建一个信任 anchor ？

换句话说，如果我们有一个包含可信条目和私有(private)条目的 keystore ，那么在 PrivateKeyEntry 下拥有一个证书就足够了吗？或者，我们还必须将该证书添加为 TrustedCertificateEntry 吗？

Answer 1

Is it enough to have certificate under PrivateKeyEntry if we have one keystore with both trusted and private entries

你永远不应该拥有这样的 keystore 。

or shall we add also certificate as trustedCertEntry in order to make requests to themself/other node under proxy ?

trustedCertEntry 用于传入 证书。私钥条目用于传出证书。

您将两种不同的东西混为一谈，实际上是 keystore 的两种不同用途。

1. 包含 trustedCertEntry 的 keystore 文件是 truststore，在 javax.net.ssl.trustStore 的意义上，并且它告诉 JSSE 哪些传入证书是直接或间接信任的。

2. 包含 PrivateKeyEntry 的 keystore 文件是 keystore，在 javax.net.ssl.keyStore 的意义上，并且它告诉 JSSE 哪些证书用于出站证书。

3. 同时包含两者的 keystore 文件格式完全错误。信任库只是要信任的证书列表。这不是 secret 。 KeyStore 包含您的私钥，这对每个人来说都是最高 secret 。将两者混为一谈是一个重大的安全漏洞。

如果没关系，为什么会有两种不同类型的条目？

这甚至不是一个合适的问题。如果您在应该是受信任证书的位置拥有私钥，则意味着您拥有其他人的私钥，这是表面上安全漏洞。