1

现在的情况：

我们使用 HTTPS/SSL 对某个 url 进行 POST。为此，我的（前）同事发布了这个问题：Java HTTPS client certificate authentication

所以基本上我们有一个.p12格式的密钥库，而信任库是一个.jks文件。

我们无法控制接收我们的 POST 请求的服务器。

问题：

服务器管理员向我们提供了一些新.der 文件，因为他们的旧证书即将到期。

由于我对 SSL 证书和keytool- 和 -命令相当openssl陌生，我不知道如何从这里开始。

1）是否需要生成新的.p12和.jks文件？还是我只需要生成一个新.jks文件？

2）如何从.der证书生成这些文件？我找到了一些keytool/openssl命令最多的网站，但我无法成功生成我需要的内容。

我尝试的最后一个命令（无济于事）是：

keytool -storepass dsmserver -keystore c:\temp\newkeystore.jks -importcert -alias "c:\temp\newcert.der" -trustcacerts
4

2 回答 2

3

等等，哪个证书过期了？如果是他们的，则不需要向您发送新文件（毕竟，当 stackoverflow.com 的 SSL 证书过期并且他们安装了新文件时，您不必更新浏览器）。如果您正在执行相互身份验证（客户端证书身份验证），则涉及四个证书：您的证书、他们的证书、签署您的证书的颁发机构的证书以及签署他们的证书的颁发机构的证书。他们向您发送他们的证书，您检查它是否由您信任的证书颁发机构正确签名（这就是信任库的用途 - 它是您信任的证书颁发机构的列表，可以从他们那里签署证书）。随后，您发送您的证书，他们会检查它是否由他们信任的证书颁发机构正确签名。（当然，所有这些都是在 JSSE 的幕后通过 SSL 握手过程自动为您完成的）

请记住，证书是（签名的）断言，即某某名称由特定的公钥标识。因此，如果他们的证书过期，他们将生成一个新证书，由您已经信任的 CA 对其进行签名，然后用这个证书替换旧证书。当您的软件（自动，作为幕后 SSL 握手的一部分）获得新软件时，它将检查签名者（“发行者”）是谁，以及它是否在您的受信任机构列表中（并正确签名）。如果这签出，您将自动接受它。他们不需要向您发送任何带外信息来实现这一点，除非他们正在更改证书颁发机构并且您还没有信任新的证书颁发机构。如果是这样，您可以使用

keytool -import -keystore <truststore> -file <certificate file> -alias <someca>

另一方面，如果您的证书已过期，那么他们不应该向您发送任何未经请求的东西。相反，您应该通过以下方式生成 CSR：

keytool -genkey -alias <myalias> -keystore <keystore>.p12 -storetype pkcs12
keytool -certreq -alias <myalias> -file request.csr -keystore <keystore>.p12 -storetype pkcs12

这将使用新的私钥更新密钥库并创建一个名为“request.csr”的文件，然后您应该将其发送给他们（或他们的信任库中的 CA）以进行签名。他们将使用签名证书进行响应，然后您将使用以下命令将其导入您的密钥库：

keytool -import -alias <myalias> -file <signed certificate>.cer

如果我不得不猜测，看起来他们试图为您执行这三个步骤，并试图向您发送无效的证书和相应的私钥 - Java 将（正确！）尽力阻止您导入那是因为当他们通过不受信任的渠道（我猜是电子邮件？）发送私钥时，私钥本身就被污染了，这违背了 PKI 的目的——除了你之外，没有人可以访问你的私钥。

于 2012-04-12T18:47:26.030 回答
1

从以下链接下载文件：ImportKey.Java

运行以下命令：

 javac ImportKey.java
 java ImportKey key.der cert.der

  - arg1 is your key and arg2 iscertificate.

命令会将您的密钥放入 Java Key Store。

于 2012-04-12T09:51:11.100 回答