java - 如何在 IE 受信任的根证书颁发机构存储中自动安装自签名证书

Question

我创建了一个自签名证书，但浏览器告诉我“此 CA 根证书不受信任。要启用信任，请在受信任的根证书颁发机构存储中安装此证书”。

我通过进入 IE --> Internet 选项 --> 内容 --> 证书 --> 等...我实际上必须导出自签名证书，然后将其导入受信任的根证书。仅当证书位于用户计算机的 ROOT 存储下后，IE 才不会显示任何警告。

这将部署在生产环境中，因此让用户手动执行上述步骤是 Not Acceptable 。

我怎样才能自动执行此操作？我只是希望他们接受并且不要出现“证书错误”并将 IE 中的 URL 栏变为“红色”。

我使用的是 Tomcat 5.5。我还按照 Tomcat SSL 如何教程 http://tomcat.apache.org/tomcat-5.5-doc/ssl-howto.html 中的步骤进行操作。

提前致谢。

Answer 1

Java 6 提供了一个名为 SunMSCAPI 的加密提供程序来访问 Windows 加密库 API。该提供程序实现了一个包含所有信任 anchor 证书的 keystore “Windows-Root”。

可以在此 keystore 中插入证书。

KeyStore root = KeyStore.getInstance("Windows-ROOT");
root.load(null);
/* certificate must be DER-encoded */
FileInputStream in = new FileInputStream("C:/path/to/root/cert/root.der");
X509Certificate cacert = (X509Certificate)CertificateFactory.getInstance("X.509").generateCertificate(in);
root.setCertificateEntry("CACert Root CA", cacert);

系统将提示用户是否确认。如果用户取消操作，则会抛出 KeyStoreException。

有关该提供商的一些技术说明可以在这里找到:http://download.oracle.com/javase/6/docs/technotes/guides/security/SunProviders.html#SunMSCAPI