如何进口的一个现有的X.509证书和私人钥匙在Java密钥的使用在SSL?
题
我有这个在说配置:
<sslContext>
<sslContext keyStore="file:/home/alex/work/amq/broker.ks"
keyStorePassword="password" trustStore="file:${activemq.base}/conf/broker.ts"
trustStorePassword="password"/>
</sslContext>
我有一对X.509证书和关键文件。
我怎么进那两个为了利用它们在SSL和SSL+跺连接器?所有例子我能总是谷歌产生的关键自己,但是我已经有一个关键。
我已经尝试了
keytool -import -keystore ./broker.ks -file mycert.crt
但是,这仅仅进口证书和不该关键文件和结果
2009-05-25 13:16:24,270 [localhost:61612] ERROR TransportConnector - Could not accept connection : No available certificate or key corresponds to the SSL cipher suites which are enabled.
我已经尝试连接的证书和关键,但得到相同的结果。
我怎么进的钥匙?
其他提示
我用我在其他的答案联的评论/讯息中发现的以下两个步骤:
<强>步骤一:转换X.509证书和密钥的PKCS12文件强>
openssl pkcs12 -export -in server.crt -inkey server.key \
-out server.p12 -name [some-alias] \
-CAfile ca.crt -caname root
注意:请确认您的PKCS12文件把密码 - 否则,当您尝试导入它,你会得到一个空指针异常。 (如果其他人有这个头痛)。 (的由于jocull!强>)
注意2:您可能要添加的-chain
选项,保持整个证书链。 (的由于Mafuba 强>)
<强>第二步:PKCS12文件转换为Java密钥库强>
keytool -importkeystore \
-deststorepass [changeit] -destkeypass [changeit] -destkeystore server.keystore \
-srckeystore server.p12 -srcstoretype PKCS12 -srcstorepass some-password \
-alias [some-alias]
<强>完成强>
<强>可选步骤零:创建自签名证书强>
openssl genrsa -out server.key 2048
openssl req -new -out server.csr -key server.key
openssl x509 -req -days 365 -in server.csr -signkey server.key -out server.crt
干杯!
Java 6 中的 Keytool 确实具有此功能: 使用 keytool 将私钥导入 Java 密钥库
以下是该帖子的基本详细信息。
使用 OpenSSL 将现有证书转换为 PKCS12。当询问时需要输入密码,否则第二步会抱怨。
openssl pkcs12 -export -in [my_certificate.crt] -inkey [my_key.key] -out [keystore.p12] -name [new_alias] -CAfile [my_ca_bundle.crt] -caname root
将 PKCS12 转换为 Java 密钥库文件。
keytool -importkeystore -deststorepass [new_keystore_pass] -destkeypass [new_key_pass] -destkeystore [keystore.jks] -srckeystore [keystore.p12] -srcstoretype PKCS12 -srcstorepass [pass_used_in_p12_keystore] -alias [alias_used_in_p12_keystore]
和多一个:
#!/bin/bash
# We have:
#
# 1) $KEY : Secret key in PEM format ("-----BEGIN RSA PRIVATE KEY-----")
# 2) $LEAFCERT : Certificate for secret key obtained from some
# certification outfit, also in PEM format ("-----BEGIN CERTIFICATE-----")
# 3) $CHAINCERT : Intermediate certificate linking $LEAFCERT to a trusted
# Self-Signed Root CA Certificate
#
# We want to create a fresh Java "keystore" $TARGET_KEYSTORE with the
# password $TARGET_STOREPW, to be used by Tomcat for HTTPS Connector.
#
# The keystore must contain: $KEY, $LEAFCERT, $CHAINCERT
# The Self-Signed Root CA Certificate is obtained by Tomcat from the
# JDK's truststore in /etc/pki/java/cacerts
# The non-APR HTTPS connector (APR uses OpenSSL-like configuration, much
# easier than this) in server.xml looks like this
# (See: https://tomcat.apache.org/tomcat-6.0-doc/ssl-howto.html):
#
# <Connector port="8443" protocol="org.apache.coyote.http11.Http11Protocol"
# SSLEnabled="true"
# maxThreads="150" scheme="https" secure="true"
# clientAuth="false" sslProtocol="TLS"
# keystoreFile="/etc/tomcat6/etl-web.keystore.jks"
# keystorePass="changeit" />
#
# Let's roll:
TARGET_KEYSTORE=/etc/tomcat6/foo-server.keystore.jks
TARGET_STOREPW=changeit
TLS=/etc/pki/tls
KEY=$TLS/private/httpd/foo-server.example.com.key
LEAFCERT=$TLS/certs/httpd/foo-server.example.com.pem
CHAINCERT=$TLS/certs/httpd/chain.cert.pem
# ----
# Create PKCS#12 file to import using keytool later
# ----
# From https://www.sslshopper.com/ssl-converter.html:
# The PKCS#12 or PFX format is a binary format for storing the server certificate,
# any intermediate certificates, and the private key in one encryptable file. PFX
# files usually have extensions such as .pfx and .p12. PFX files are typically used
# on Windows machines to import and export certificates and private keys.
TMPPW=$$ # Some random password
PKCS12FILE=`mktemp`
if [[ $? != 0 ]]; then
echo "Creation of temporary PKCS12 file failed -- exiting" >&2; exit 1
fi
TRANSITFILE=`mktemp`
if [[ $? != 0 ]]; then
echo "Creation of temporary transit file failed -- exiting" >&2; exit 1
fi
cat "$KEY" "$LEAFCERT" > "$TRANSITFILE"
openssl pkcs12 -export -passout "pass:$TMPPW" -in "$TRANSITFILE" -name etl-web > "$PKCS12FILE"
/bin/rm "$TRANSITFILE"
# Print out result for fun! Bug in doc (I think): "-pass " arg does not work, need "-passin"
openssl pkcs12 -passin "pass:$TMPPW" -passout "pass:$TMPPW" -in "$PKCS12FILE" -info
# ----
# Import contents of PKCS12FILE into a Java keystore. WTF, Sun, what were you thinking?
# ----
if [[ -f "$TARGET_KEYSTORE" ]]; then
/bin/rm "$TARGET_KEYSTORE"
fi
keytool -importkeystore \
-deststorepass "$TARGET_STOREPW" \
-destkeypass "$TARGET_STOREPW" \
-destkeystore "$TARGET_KEYSTORE" \
-srckeystore "$PKCS12FILE" \
-srcstoretype PKCS12 \
-srcstorepass "$TMPPW" \
-alias foo-the-server
/bin/rm "$PKCS12FILE"
# ----
# Import the chain certificate. This works empirically, it is not at all clear from the doc whether this is correct
# ----
echo "Importing chain"
TT=-trustcacerts
keytool -import $TT -storepass "$TARGET_STOREPW" -file "$CHAINCERT" -keystore "$TARGET_KEYSTORE" -alias chain
# ----
# Print contents
# ----
echo "Listing result"
keytool -list -storepass "$TARGET_STOREPW" -keystore "$TARGET_KEYSTORE"
是的,这确实是一个可悲的事实,密钥工具没有任何功能导入私钥。
有关的记录,在结束时,我与所描述的溶液的此处
首先转换到p12:
openssl pkcs12 -export -in [filename-certificate] -inkey [filename-key] -name [host] -out [filename-new-PKCS-12.p12]
从P12创建新JKS:
keytool -importkeystore -deststorepass [password] -destkeystore [filename-new-keystore.jks] -srckeystore [filename-new-PKCS-12.p12] -srcstoretype PKCS12
在我来说,我有其中含有两个证书和加密私钥相互SSL认证要使用的PEM文件。 所以,我的PEM文件是这样的:
-----BEGIN CERTIFICATE-----
...
-----END CERTIFICATE-----
-----BEGIN RSA PRIVATE KEY-----
Proc-Type: 4,ENCRYPTED
DEK-Info: DES-EDE3-CBC,C8BF220FC76AA5F9
...
-----END RSA PRIVATE KEY-----
-----BEGIN CERTIFICATE-----
...
-----END CERTIFICATE-----
下面是我做过什么:
的文件分割为三个单独的文件,所以每一个只包含一个条目, 从开始 “--- BEGIN ..” 和结尾 “--- END ..” 线。让我们假设我们现在有三个文件:cert1.pem cert2.pem和pkey.pem
用openssl转换成pkey.pem DER格式和语法如下:
openssl pkcs8 -topk8 -nocrypt -in pkey.pem -inform PEM -out pkey.der -outform DER
请注意,如果私有密钥加密需要提供密码(从原来的PEM文件的供应商获得它) 转换为DER格式, OpenSSL的会问你这样的密码:“进入一通phraze为pkey.pem:” 如果转换成功,你会得到一个名为“pkey.der”
新文件创建一个新的Java密钥存储和导入私钥和证书:
String keypass = "password"; // this is a new password, you need to come up with to protect your java key store file
String defaultalias = "importkey";
KeyStore ks = KeyStore.getInstance("JKS", "SUN");
// this section does not make much sense to me,
// but I will leave it intact as this is how it was in the original example I found on internet:
ks.load( null, keypass.toCharArray());
ks.store( new FileOutputStream ( "mykeystore" ), keypass.toCharArray());
ks.load( new FileInputStream ( "mykeystore" ), keypass.toCharArray());
// end of section..
// read the key file from disk and create a PrivateKey
FileInputStream fis = new FileInputStream("pkey.der");
DataInputStream dis = new DataInputStream(fis);
byte[] bytes = new byte[dis.available()];
dis.readFully(bytes);
ByteArrayInputStream bais = new ByteArrayInputStream(bytes);
byte[] key = new byte[bais.available()];
KeyFactory kf = KeyFactory.getInstance("RSA");
bais.read(key, 0, bais.available());
bais.close();
PKCS8EncodedKeySpec keysp = new PKCS8EncodedKeySpec ( key );
PrivateKey ff = kf.generatePrivate (keysp);
// read the certificates from the files and load them into the key store:
Collection col_crt1 = CertificateFactory.getInstance("X509").generateCertificates(new FileInputStream("cert1.pem"));
Collection col_crt2 = CertificateFactory.getInstance("X509").generateCertificates(new FileInputStream("cert2.pem"));
Certificate crt1 = (Certificate) col_crt1.iterator().next();
Certificate crt2 = (Certificate) col_crt2.iterator().next();
Certificate[] chain = new Certificate[] { crt1, crt2 };
String alias1 = ((X509Certificate) crt1).getSubjectX500Principal().getName();
String alias2 = ((X509Certificate) crt2).getSubjectX500Principal().getName();
ks.setCertificateEntry(alias1, crt1);
ks.setCertificateEntry(alias2, crt2);
// store the private key
ks.setKeyEntry(defaultalias, ff, keypass.toCharArray(), chain );
// save the key store to a file
ks.store(new FileOutputStream ( "mykeystore" ),keypass.toCharArray());
(可选)验证新密钥存储的内容:
keytool -list -keystore mykeystore -storepass password
密钥库类型:JKS密钥库提供:SUN
您密钥库包含3项
CN = ...,OU = ...,O = .. 9月2日,2014,trustedCertEntry,证书 指纹(SHA1):2C:B8:...
importkey 9月2日,2014,PrivateKeyEntry,证书指纹 (SHA1):9C:B0:...
CN = ...,O = .... 9月2日,2014,trustedCertEntry,证书指纹 (SHA1):83:63:...
(可选)测试你的证书,并从对你的SSL服务器新的密钥存储私钥: (您可能需要启用调试作为VM选项:-Djavax.net.debug =全部)
char[] passw = "password".toCharArray();
KeyStore ks = KeyStore.getInstance("JKS", "SUN");
ks.load(new FileInputStream ( "mykeystore" ), passw );
KeyManagerFactory kmf = KeyManagerFactory.getInstance("SunX509");
kmf.init(ks, passw);
TrustManagerFactory tmf = TrustManagerFactory.getInstance(TrustManagerFactory.getDefaultAlgorithm());
tmf.init(ks);
TrustManager[] tm = tmf.getTrustManagers();
SSLContext sclx = SSLContext.getInstance("TLS");
sclx.init( kmf.getKeyManagers(), tm, null);
SSLSocketFactory factory = sclx.getSocketFactory();
SSLSocket socket = (SSLSocket) factory.createSocket( "192.168.1.111", 443 );
socket.startHandshake();
//if no exceptions are thrown in the startHandshake method, then everything is fine..
最后注册HttpsURLConnection的你的证书,如果计划使用它:
char[] passw = "password".toCharArray();
KeyStore ks = KeyStore.getInstance("JKS", "SUN");
ks.load(new FileInputStream ( "mykeystore" ), passw );
KeyManagerFactory kmf = KeyManagerFactory.getInstance("SunX509");
kmf.init(ks, passw);
TrustManagerFactory tmf = TrustManagerFactory.getInstance(TrustManagerFactory.getDefaultAlgorithm());
tmf.init(ks);
TrustManager[] tm = tmf.getTrustManagers();
SSLContext sclx = SSLContext.getInstance("TLS");
sclx.init( kmf.getKeyManagers(), tm, null);
HostnameVerifier hv = new HostnameVerifier()
{
public boolean verify(String urlHostName, SSLSession session)
{
if (!urlHostName.equalsIgnoreCase(session.getPeerHost()))
{
System.out.println("Warning: URL host '" + urlHostName + "' is different to SSLSession host '" + session.getPeerHost() + "'.");
}
return true;
}
};
HttpsURLConnection.setDefaultSSLSocketFactory( sclx.getSocketFactory() );
HttpsURLConnection.setDefaultHostnameVerifier(hv);
根据上面的答案,以下是如何使用 keytool 从独立创建的 Comodo 证书和私钥中为基于 java 的 Web 服务器创建一个全新的密钥库(需要 JDK 1.6+)
发出此命令并在密码提示符处输入 somepass -“server.crt”是您服务器的证书,“server.key”是您用于发出 CSR 的私钥:
openssl pkcs12 -export -in server.crt -inkey server.key -out server.p12 -name www.yourdomain.com -CAfile AddTrustExternalCARoot.crt -caname "AddTrust External CA Root"
然后使用 keytool 将 p12 密钥库转换为 jks 密钥库:
keytool -importkeystore -deststorepass somepass -destkeypass somepass -destkeystore keystore.jks -srckeystore server.p12 -srcstoretype PKCS12 -srcstorepass somepass
然后导入您从 Comodo 收到的另外两个根/中间证书:
导入 COMODORSAAddTrustCA.crt:
keytool -import -trustcacerts -alias cert1 -file COMODORSAAddTrustCA.crt -keystore keystore.jks
导入 COMODORSADomainValidationSecureServerCA.crt:
keytool -import -trustcacerts -alias cert2 -file COMODORSADomainValidationSecureServerCA.crt -keystore keystore.jks
您可以使用这些步骤将密钥导入到现有密钥库。这些说明是根据该线程和其他站点中的答案组合而成的。这些说明对我有用(java密钥库):
- 跑步
openssl pkcs12 -export -in yourserver.crt -inkey yourkey.key -out server.p12 -name somename -certfile yourca.crt -caname root
(如果需要,请输入 -chain 选项。这对我来说失败了)。这将要求输入密码--您必须输入正确的密码,否则会出现错误 (标题错误或填充错误等)。
- 它将要求您输入新密码 - 您必须在此处输入密码 - 输入任何内容但记住它。(假设您进入阿拉贡)。
- 这将创建 pkcs 格式的 server.p12 文件。
- 现在将其导入到
*.jks
文件运行:
keytool -importkeystore -srckeystore server.p12 -srcstoretype PKCS12 -destkeystore yourexistingjavakeystore.jks -deststoretype JKS -deststorepass existingjavastorepassword -destkeypass existingjavastorepassword
(非常重要 - 不要遗漏 deststorepass 和 destkeypass 参数。) - 它会询问您 src 密钥库密码。输入阿拉贡并按回车键。证书和密钥现已导入到您现有的 java 密钥库中。
以前的答案指出正确的,你只能通过JKS文件转换成PKCS#12格式,先用标准的JDK工具做到这一点。如果你有兴趣,我把一个紧凑的实用程序导入OpenSSL的衍生键到JKS格式的密钥库,而无需密钥库转换为PKCS#12第一:的 http://commandlinefanatic.com/cgi-bin/showarticle.cgi?article=art049
您会使用这样的链接工具:
$ openssl req -x509 -newkey rsa:2048 -keyout localhost.key -out localhost.csr -subj "/CN=localhost"
(签名CSR,取回localhost.cer)
$ openssl rsa -in localhost.key -out localhost.rsa
Enter pass phrase for localhost.key:
writing RSA key
$ java -classpath . KeyImport -keyFile localhost.rsa -alias localhost -certificateFile localhost.cer -keystore localhost.jks -keystorePassword changeit -keystoreType JKS -keyPassword changeit
如果您有 PEM 文件(例如 server.pem
)包含:
- 受信任的证书
- 私钥
然后您可以将证书和密钥导入到 JKS 密钥库中,如下所示:
1)将私钥从 PEM 文件复制到 ascii 文件(例如 server.key
)
2)将 PEM 文件中的证书复制到 ascii 文件中(例如 server.crt
)
3) 将证书和密钥导出到 PKCS12 文件中:
$ openssl pkcs12 -export -in server.crt -inkey server.key \
-out server.p12 -name [some-alias] -CAfile server.pem -caname root
- PEM 文件可以用作参数
-CAfile
选项. - 系统会提示您输入“导出”密码。
- 如果在 git bash 中执行此操作,则添加
winpty
到命令的开头,以便可以输入导出密码。
4) 将 PKCS12 文件转换为 JKS 密钥库:
$ keytool -importkeystore -deststorepass changeit -destkeypass changeit \
-destkeystore keystore.jks -srckeystore server.p12 -srcstoretype PKCS12 \
-srcstorepass changeit
- 这
srcstorepass
密码应与步骤 3 中的导出密码匹配)
我试图实现的是使用已经提供的私钥和证书来签署消息,该消息将发送到需要确保消息来自我的地方(私钥签名,而公钥加密)。
那么,如果您已经有 .key 文件和 .crt 文件呢?
尝试这个:
步骤1: 将密钥和证书转换为 .p12 文件
openssl pkcs12 -export -in certificate.crt -inkey privateKey.key -name alias -out yourconvertedfile.p12
第2步: 导入密钥并使用单个命令创建 .jsk 文件
keytool -importkeystore -deststorepass changeit -destkeystore keystore.jks -srckeystore umeme.p12 -srcstoretype PKCS12
步骤3: 在你的java中:
char[] keyPassword = "changeit".toCharArray();
KeyStore keyStore = KeyStore.getInstance("JKS");
InputStream keyStoreData = new FileInputStream("keystore.jks");
keyStore.load(keyStoreData, keyPassword);
KeyStore.ProtectionParameter entryPassword = new KeyStore.PasswordProtection(keyPassword);
KeyStore.PrivateKeyEntry privateKeyEntry = (KeyStore.PrivateKeyEntry)keyStore.getEntry("alias", entryPassword);
System.out.println(privateKeyEntry.toString());
如果您需要使用此密钥签署某些字符串,请执行以下操作:
步骤1:转换您要加密的文本
byte[] data = "test".getBytes("UTF8");
第2步:获取base64编码的私钥
keyStore.load(keyStoreData, keyPassword);
//get cert, pubkey and private key from the store by alias
Certificate cert = keyStore.getCertificate("localhost");
PublicKey publicKey = cert.getPublicKey();
KeyPair keyPair = new KeyPair(publicKey, (PrivateKey) key);
//sign with this alg
Signature sig = Signature.getInstance("SHA1WithRSA");
sig.initSign(keyPair.getPrivate());
sig.update(data);
byte[] signatureBytes = sig.sign();
System.out.println("Signature:" + Base64.getEncoder().encodeToString(signatureBytes));
sig.initVerify(keyPair.getPublic());
sig.update(data);
System.out.println(sig.verify(signatureBytes));
参考:
- 如何导入 Java 密钥库中现有的 x509 证书和私钥以在 SSL 中使用?
- http://tutorials.jenkov.com/java-cryptography/keystore.html
- http://www.java2s.com/Code/Java/Security/RetrivingaKeyPairfromaKeyStore.htm
- 如何使用私钥对字符串进行签名
最终方案
public static void main(String[] args) throws Exception {
byte[] data = "test".getBytes("UTF8");
// load keystore
char[] keyPassword = "changeit".toCharArray();
KeyStore keyStore = KeyStore.getInstance("JKS");
//System.getProperty("user.dir") + "" < for a file in particular path
InputStream keyStoreData = new FileInputStream("keystore.jks");
keyStore.load(keyStoreData, keyPassword);
Key key = keyStore.getKey("localhost", keyPassword);
Certificate cert = keyStore.getCertificate("localhost");
PublicKey publicKey = cert.getPublicKey();
KeyPair keyPair = new KeyPair(publicKey, (PrivateKey) key);
Signature sig = Signature.getInstance("SHA1WithRSA");
sig.initSign(keyPair.getPrivate());
sig.update(data);
byte[] signatureBytes = sig.sign();
System.out.println("Signature:" + Base64.getEncoder().encodeToString(signatureBytes));
sig.initVerify(keyPair.getPublic());
sig.update(data);
System.out.println(sig.verify(signatureBytes));
}
只是做一个PKCS12密钥库,Java可以现在直接使用它。事实上,如果你列出一个Java风格的密钥库,在keytool本身提醒您这样的事实,现在PKCS12是首选格式。
openssl pkcs12 -export -in server.crt -inkey server.key \
-out server.p12 -name [some-alias] \
-CAfile ca.crt -caname root -chain
您应该从您的证书供应商处获得的所有三个文件(server.crt这server.key,ca.crt)。我不知道什么是“-caname根”实际上是指,但它似乎已被指定的方式。
在Java代码,确保指定的权利密钥仓库类型。
KeyStore.getInstance("PKCS12")
我得到了我comodo.com发行的SSL证书在NanoHTTPD这种方式工作的罚款。
使用我们的加密证书
假设你完成证书用钥匙和私人钥匙与 让我们加密 在 /etc/letsencrypt/live/you.com
:
1.创建一个 环12 文件
openssl pkcs12 -export -in fullchain.pem -inkey privkey.pem -out pkcs.p12 \
-name letsencrypt
这个结合了你的SSL证书 fullchain.pem
和你的私人钥匙 privkey.pem
进入一个单一的文件, pkcs.p12
.
你会为一个密码 pkcs.p12
.
的 export
选择指定一个环12的文件将创建的,而不是分析(从 该手册).
2.创建Java密钥
keytool -importkeystore -destkeystore keystore.jks -srckeystore pkcs.p12 \
-srcstoretype PKCS12 -alias letsencrypt
如果 keystore.jks
不存在,就将创建包含的 pkcs.12
文件上。否则,你将导入 pkcs.12
到现有的密钥库。
这些指示是来自 这篇文章.
这里有更多 在不同种类的文件 /etc/letsencrypt/live/you.com/
.
在椭圆曲线的情况和回答问题的导入Java密钥库现有的X509证书和私钥的,你可能想看看也此主题的如何读取在Java这是在.PEM文件格式 EC私钥