Como importar um certificado X.509 existente e chave privada no keystore Java para uso em SSL?
Pergunta
Eu tenho isso em uma configuração ActiveMQ:
<sslContext>
<sslContext keyStore="file:/home/alex/work/amq/broker.ks"
keyStorePassword="password" trustStore="file:${activemq.base}/conf/broker.ts"
trustStorePassword="password"/>
</sslContext>
Eu tenho um par de X.509 cert e um arquivo de chave.
Como faço para importar esses dois, a fim de usá-los em conectores Stomp SSL e SSL +? Todos os exemplos que eu poderia google sempre gerar a chave em si, mas eu já tenho uma chave.
Eu tentei
keytool -import -keystore ./broker.ks -file mycert.crt
Mas isso só importa o certificado e não o arquivo de chave e resulta em
2009-05-25 13:16:24,270 [localhost:61612] ERROR TransportConnector - Could not accept connection : No available certificate or key corresponds to the SSL cipher suites which are enabled.
Eu tentei concatenando o certificado ea chave mas obteve o mesmo resultado.
Como faço para importar a chave?
Solução
Acredite ou não, keytool não fornece essa funcionalidade básica como importar a chave privada para armazenamento de chaves. Você pode tentar este solução com fusão arquivo PKSC12 com a chave privada a um armazenamento de chaves.
Ou apenas usar mais user-friendly KeyMan da IBM para armazenamento de chaves manipulação em vez de keytool.exe.
Outras dicas
Eu usei as duas etapas seguintes, que eu encontrei nos comentários / mensagens ligadas em outras respostas:
Etapa um: Converter o certificado X.509 e chave para um arquivo pkcs12
openssl pkcs12 -export -in server.crt -inkey server.key \
-out server.p12 -name [some-alias] \
-CAfile ca.crt -caname root
Nota: Certifique-se de colocar uma senha no arquivo pkcs12 - caso contrário, você vai ter uma exceção de ponteiro nulo quando você tenta importá-lo. (No caso de mais alguém teve essa dor de cabeça). ( Graças jocull! )
Nota 2: Você pode querer adicionar a opção -chain
para preservar a cadeia de certificados completo. ( Graças Mafuba )
Etapa dois: Converter o arquivo pkcs12 a um Java keystore
keytool -importkeystore \
-deststorepass [changeit] -destkeypass [changeit] -destkeystore server.keystore \
-srckeystore server.p12 -srcstoretype PKCS12 -srcstorepass some-password \
-alias [some-alias]
Terminado
etapa opcional zero: Criar certificado auto-assinado
openssl genrsa -out server.key 2048
openssl req -new -out server.csr -key server.key
openssl x509 -req -days 365 -in server.csr -signkey server.key -out server.crt
Felicidades!
Keytool em Java 6 tem essa capacidade: Importando chaves privadas em um Java keystore usando keytool
Aqui estão os detalhes básicos desse post.
-
Converter o certificado existente para um PKCS12 usando OpenSSL. é necessária uma senha quando solicitado ou a 2ª etapa vai reclamar.
openssl pkcs12 -export -in [my_certificate.crt] -inkey [my_key.key] -out [keystore.p12] -name [new_alias] -CAfile [my_ca_bundle.crt] -caname root
-
Converter o PKCS12 para um arquivo Java Keystore.
keytool -importkeystore -deststorepass [new_keystore_pass] -destkeypass [new_key_pass] -destkeystore [keystore.jks] -srckeystore [keystore.p12] -srcstoretype PKCS12 -srcstorepass [pass_used_in_p12_keystore] -alias [alias_used_in_p12_keystore]
E mais uma:
#!/bin/bash
# We have:
#
# 1) $KEY : Secret key in PEM format ("-----BEGIN RSA PRIVATE KEY-----")
# 2) $LEAFCERT : Certificate for secret key obtained from some
# certification outfit, also in PEM format ("-----BEGIN CERTIFICATE-----")
# 3) $CHAINCERT : Intermediate certificate linking $LEAFCERT to a trusted
# Self-Signed Root CA Certificate
#
# We want to create a fresh Java "keystore" $TARGET_KEYSTORE with the
# password $TARGET_STOREPW, to be used by Tomcat for HTTPS Connector.
#
# The keystore must contain: $KEY, $LEAFCERT, $CHAINCERT
# The Self-Signed Root CA Certificate is obtained by Tomcat from the
# JDK's truststore in /etc/pki/java/cacerts
# The non-APR HTTPS connector (APR uses OpenSSL-like configuration, much
# easier than this) in server.xml looks like this
# (See: https://tomcat.apache.org/tomcat-6.0-doc/ssl-howto.html):
#
# <Connector port="8443" protocol="org.apache.coyote.http11.Http11Protocol"
# SSLEnabled="true"
# maxThreads="150" scheme="https" secure="true"
# clientAuth="false" sslProtocol="TLS"
# keystoreFile="/etc/tomcat6/etl-web.keystore.jks"
# keystorePass="changeit" />
#
# Let's roll:
TARGET_KEYSTORE=/etc/tomcat6/foo-server.keystore.jks
TARGET_STOREPW=changeit
TLS=/etc/pki/tls
KEY=$TLS/private/httpd/foo-server.example.com.key
LEAFCERT=$TLS/certs/httpd/foo-server.example.com.pem
CHAINCERT=$TLS/certs/httpd/chain.cert.pem
# ----
# Create PKCS#12 file to import using keytool later
# ----
# From https://www.sslshopper.com/ssl-converter.html:
# The PKCS#12 or PFX format is a binary format for storing the server certificate,
# any intermediate certificates, and the private key in one encryptable file. PFX
# files usually have extensions such as .pfx and .p12. PFX files are typically used
# on Windows machines to import and export certificates and private keys.
TMPPW=$$ # Some random password
PKCS12FILE=`mktemp`
if [[ $? != 0 ]]; then
echo "Creation of temporary PKCS12 file failed -- exiting" >&2; exit 1
fi
TRANSITFILE=`mktemp`
if [[ $? != 0 ]]; then
echo "Creation of temporary transit file failed -- exiting" >&2; exit 1
fi
cat "$KEY" "$LEAFCERT" > "$TRANSITFILE"
openssl pkcs12 -export -passout "pass:$TMPPW" -in "$TRANSITFILE" -name etl-web > "$PKCS12FILE"
/bin/rm "$TRANSITFILE"
# Print out result for fun! Bug in doc (I think): "-pass " arg does not work, need "-passin"
openssl pkcs12 -passin "pass:$TMPPW" -passout "pass:$TMPPW" -in "$PKCS12FILE" -info
# ----
# Import contents of PKCS12FILE into a Java keystore. WTF, Sun, what were you thinking?
# ----
if [[ -f "$TARGET_KEYSTORE" ]]; then
/bin/rm "$TARGET_KEYSTORE"
fi
keytool -importkeystore \
-deststorepass "$TARGET_STOREPW" \
-destkeypass "$TARGET_STOREPW" \
-destkeystore "$TARGET_KEYSTORE" \
-srckeystore "$PKCS12FILE" \
-srcstoretype PKCS12 \
-srcstorepass "$TMPPW" \
-alias foo-the-server
/bin/rm "$PKCS12FILE"
# ----
# Import the chain certificate. This works empirically, it is not at all clear from the doc whether this is correct
# ----
echo "Importing chain"
TT=-trustcacerts
keytool -import $TT -storepass "$TARGET_STOREPW" -file "$CHAINCERT" -keystore "$TARGET_KEYSTORE" -alias chain
# ----
# Print contents
# ----
echo "Listing result"
keytool -list -storepass "$TARGET_STOREPW" -keystore "$TARGET_KEYSTORE"
Sim, é um fato triste que keytool não tem nenhuma funcionalidade para importar uma chave privada.
Para o registro, no final eu fui com a solução descrita aqui
Em primeiro lugar convertido ao p12:
openssl pkcs12 -export -in [filename-certificate] -inkey [filename-key] -name [host] -out [filename-new-PKCS-12.p12]
Criar novas JKS de p12:
keytool -importkeystore -deststorepass [password] -destkeystore [filename-new-keystore.jks] -srckeystore [filename-new-PKCS-12.p12] -srcstoretype PKCS12
No meu caso eu tinha um arquivo pem que continha dois certificados e uma chave privada criptografada para ser usado na autenticação SSL mútuo. Então meu arquivo pem ficou assim:
-----BEGIN CERTIFICATE-----
...
-----END CERTIFICATE-----
-----BEGIN RSA PRIVATE KEY-----
Proc-Type: 4,ENCRYPTED
DEK-Info: DES-EDE3-CBC,C8BF220FC76AA5F9
...
-----END RSA PRIVATE KEY-----
-----BEGIN CERTIFICATE-----
...
-----END CERTIFICATE-----
Aqui está o que eu fiz:
Dividir o arquivo em três arquivos separados, para que cada um contém apenas uma entrada, começando com "--- BEGIN .." e terminando com linhas "--- END ..". Vamos supor agora temos três arquivos: cert1.pem cert2.pem e pkey.pem
Convert pkey.pem em formato DER usando openssl e a seguinte sintaxe:
openssl pkcs8 -topk8 -nocrypt -in pkey.pem -inform PEM -out pkey.der -outform DER
Note que, se a chave privada é criptografada você precisa fornecer uma senha (obtê-lo a partir do fornecedor do arquivo pem original) converter para o formato DER, openssl irá pedir a senha assim: "introduzir um Phraze passagem para pkey.pem:" Se a conversão for bem sucedida, você receberá um novo arquivo chamado "pkey.der"
Criar um novo armazenamento de chaves java e importar a chave privada e os certificados:
String keypass = "password"; // this is a new password, you need to come up with to protect your java key store file
String defaultalias = "importkey";
KeyStore ks = KeyStore.getInstance("JKS", "SUN");
// this section does not make much sense to me,
// but I will leave it intact as this is how it was in the original example I found on internet:
ks.load( null, keypass.toCharArray());
ks.store( new FileOutputStream ( "mykeystore" ), keypass.toCharArray());
ks.load( new FileInputStream ( "mykeystore" ), keypass.toCharArray());
// end of section..
// read the key file from disk and create a PrivateKey
FileInputStream fis = new FileInputStream("pkey.der");
DataInputStream dis = new DataInputStream(fis);
byte[] bytes = new byte[dis.available()];
dis.readFully(bytes);
ByteArrayInputStream bais = new ByteArrayInputStream(bytes);
byte[] key = new byte[bais.available()];
KeyFactory kf = KeyFactory.getInstance("RSA");
bais.read(key, 0, bais.available());
bais.close();
PKCS8EncodedKeySpec keysp = new PKCS8EncodedKeySpec ( key );
PrivateKey ff = kf.generatePrivate (keysp);
// read the certificates from the files and load them into the key store:
Collection col_crt1 = CertificateFactory.getInstance("X509").generateCertificates(new FileInputStream("cert1.pem"));
Collection col_crt2 = CertificateFactory.getInstance("X509").generateCertificates(new FileInputStream("cert2.pem"));
Certificate crt1 = (Certificate) col_crt1.iterator().next();
Certificate crt2 = (Certificate) col_crt2.iterator().next();
Certificate[] chain = new Certificate[] { crt1, crt2 };
String alias1 = ((X509Certificate) crt1).getSubjectX500Principal().getName();
String alias2 = ((X509Certificate) crt2).getSubjectX500Principal().getName();
ks.setCertificateEntry(alias1, crt1);
ks.setCertificateEntry(alias2, crt2);
// store the private key
ks.setKeyEntry(defaultalias, ff, keypass.toCharArray(), chain );
// save the key store to a file
ks.store(new FileOutputStream ( "mykeystore" ),keypass.toCharArray());
(opcional) Verifique o conteúdo do seu novo armazenamento de chaves:
keytool -list -keystore mykeystore -storepass password
Tipo de Keystore: provedor de armazenamento de chave JKS: SUN
O seu armazenamento de chaves contém 3 entradas
cn = ..., ou = ..., o = .., 02 de setembro de 2014, trustedCertEntry, Certificado impressão digital (SHA1): 2C: B8: ...
importkey, 02 de setembro de 2014, PrivateKeyEntry, impressão digital Certificado (SHA1): 9C: B0: ...
cn = ..., o = ...., 02 de setembro de 2014, trustedCertEntry, impressão digital Certificado (SHA1): 83:63: ...
(opcional) Teste seus certificados e chave privada do seu novo armazenamento de chaves contra seu servidor SSL: (Você pode querer permitir a depuração como uma opção VM: -Djavax.net.debug = all)
char[] passw = "password".toCharArray();
KeyStore ks = KeyStore.getInstance("JKS", "SUN");
ks.load(new FileInputStream ( "mykeystore" ), passw );
KeyManagerFactory kmf = KeyManagerFactory.getInstance("SunX509");
kmf.init(ks, passw);
TrustManagerFactory tmf = TrustManagerFactory.getInstance(TrustManagerFactory.getDefaultAlgorithm());
tmf.init(ks);
TrustManager[] tm = tmf.getTrustManagers();
SSLContext sclx = SSLContext.getInstance("TLS");
sclx.init( kmf.getKeyManagers(), tm, null);
SSLSocketFactory factory = sclx.getSocketFactory();
SSLSocket socket = (SSLSocket) factory.createSocket( "192.168.1.111", 443 );
socket.startHandshake();
//if no exceptions are thrown in the startHandshake method, then everything is fine..
Finalmente registrar seus certificados com HttpsURLConnection se pretende utilizá-lo:
char[] passw = "password".toCharArray();
KeyStore ks = KeyStore.getInstance("JKS", "SUN");
ks.load(new FileInputStream ( "mykeystore" ), passw );
KeyManagerFactory kmf = KeyManagerFactory.getInstance("SunX509");
kmf.init(ks, passw);
TrustManagerFactory tmf = TrustManagerFactory.getInstance(TrustManagerFactory.getDefaultAlgorithm());
tmf.init(ks);
TrustManager[] tm = tmf.getTrustManagers();
SSLContext sclx = SSLContext.getInstance("TLS");
sclx.init( kmf.getKeyManagers(), tm, null);
HostnameVerifier hv = new HostnameVerifier()
{
public boolean verify(String urlHostName, SSLSession session)
{
if (!urlHostName.equalsIgnoreCase(session.getPeerHost()))
{
System.out.println("Warning: URL host '" + urlHostName + "' is different to SSLSession host '" + session.getPeerHost() + "'.");
}
return true;
}
};
HttpsURLConnection.setDefaultSSLSocketFactory( sclx.getSocketFactory() );
HttpsURLConnection.setDefaultHostnameVerifier(hv);
Com base nas respostas acima, aqui é como criar um novo armazenamento de chaves de marca para o seu servidor web baseado em Java, a partir de uma cert Comodo criado de forma independente e chave privada usando keytool (requer JDK 1.6 +)
-
emitir esse comando e na senha prompt insira somepass - 'server.crt' é cert do seu servidor e 'server.key' é a chave privada usada para a emissão do CSR:
openssl pkcs12 -export -in server.crt -inkey server.key -out server.p12 -name www.yourdomain.com -CAfile AddTrustExternalCARoot.crt -caname "AddTrust External CA Root"
-
Em seguida, use keytool para converter o armazenamento de chaves p12 em um armazenamento de chave JKS:
keytool -importkeystore -deststorepass somepass -destkeypass somepass -destkeystore keystore.jks -srckeystore server.p12 -srcstoretype PKCS12 -srcstorepass somepass
Em seguida, importe os outros dois certs raiz / intermediário que você recebeu de Comodo:
-
Import COMODORSAAddTrustCA.crt:
keytool -import -trustcacerts -alias cert1 -file COMODORSAAddTrustCA.crt -keystore keystore.jks
-
Import COMODORSADomainValidationSecureServerCA.crt:
keytool -import -trustcacerts -alias cert2 -file COMODORSADomainValidationSecureServerCA.crt -keystore keystore.jks
Você pode usar estas etapas para importar a chave para um armazenamento de chaves existente. As instruções são combinados de respostas neste segmento e outros sites. Estas instruções trabalhou para mim (o keystore java):
- Executar
openssl pkcs12 -export -in yourserver.crt -inkey yourkey.key -out server.p12 -name somename -certfile yourca.crt -caname root
(Se necessário colocar a opção cadeia. Colocando que falhou para mim). Isto irá pedir a senha - você deve dar a senha correta então você vai receber um erro (Erro de posição ou erro de preenchimento etc).
- Ele vai pedir para você digitar uma nova senha - você deve digitar uma senha aqui - digite qualquer coisa, mas se lembrar dela. (Vamos supor que você entra Aragorn).
- Isto irá criar o arquivo server.p12 no formato PKCS.
- Agora, para importá-lo para o arquivo
*.jks
prazo:
keytool -importkeystore -srckeystore server.p12 -srcstoretype PKCS12 -destkeystore yourexistingjavakeystore.jks -deststoretype JKS -deststorepass existingjavastorepassword -destkeypass existingjavastorepassword
(Muito importante -. Não deixar de fora o deststorepass e os parâmetros destkeypass) - Ele irá pedir a senha de armazenamento de chaves src. Digite Aragorn e aperte enter. O certificado ea chave agora é importado para o seu keystore java existente.
respostas anteriores apontam corretamente que você só pode fazer isso com as ferramentas do JDK padrão, convertendo o arquivo JKS em formato PKCS # 12 em primeiro lugar. Se você estiver interessado, eu coloquei um utilitário compacto para chaves derivada do OpenSSL importação em um armazenamento de chave JKS-formatados sem ter que converter o armazenamento de chaves de PKCS # 12 em primeiro lugar: http://commandlinefanatic.com/cgi-bin/showarticle.cgi?article=art049
Você usaria o utilitário ligados assim:
$ openssl req -x509 -newkey rsa:2048 -keyout localhost.key -out localhost.csr -subj "/CN=localhost"
(assinar o CSR, voltar localhost.cer)
$ openssl rsa -in localhost.key -out localhost.rsa
Enter pass phrase for localhost.key:
writing RSA key
$ java -classpath . KeyImport -keyFile localhost.rsa -alias localhost -certificateFile localhost.cer -keystore localhost.jks -keystorePassword changeit -keystoreType JKS -keyPassword changeit
Se você tem um arquivo PEM (por exemplo server.pem
) contendo:
- o certificado confiável
- a chave privada
então você pode importar o certificado ea chave em um armazenamento de chave JKS assim:
1 ) Copie a chave privada a partir do arquivo PEM em um arquivo ascii (por exemplo server.key
)
2 ) Copie o certificado do arquivo PEM em um arquivo ascii (por exemplo server.crt
)
3 ) Exportar o certificado ea chave para um arquivo PKCS12:
$ openssl pkcs12 -export -in server.crt -inkey server.key \
-out server.p12 -name [some-alias] -CAfile server.pem -caname root
- o arquivo PEM pode ser usado como o argumento para a opção
-CAfile
. - você será solicitado para uma senha de 'exportação'.
- se fazer isso em bash git em seguida, adicione
winpty
do início do comando para que a senha de exportação podem ser inseridos.
4 ) Converte o arquivo PKCS12 para um armazenamento de chave JKS:
$ keytool -importkeystore -deststorepass changeit -destkeypass changeit \
-destkeystore keystore.jks -srckeystore server.p12 -srcstoretype PKCS12 \
-srcstorepass changeit
- a senha
srcstorepass
deve coincidir com a senha de exportação a partir do passo 3)
O que eu estava tentando alcançar estava usando chave privada já prevista e certificado para assinar mensagem que estava indo a algum lugar que precisava ter certeza de que a mensagem foi vindo de mim (sinal de chaves privado, enquanto chaves públicas criptografar).
Então, se você já tiver um arquivo .key e um arquivo .crt?
Tente isto:
Passo 1: Converter a chave e cert para .p12
openssl pkcs12 -export -in certificate.crt -inkey privateKey.key -name alias -out yourconvertedfile.p12
Passo 2: Importar a chave e criar um arquivo .jsk com um único comando
keytool -importkeystore -deststorepass changeit -destkeystore keystore.jks -srckeystore umeme.p12 -srcstoretype PKCS12
Passo 3: em seu Java:
char[] keyPassword = "changeit".toCharArray();
KeyStore keyStore = KeyStore.getInstance("JKS");
InputStream keyStoreData = new FileInputStream("keystore.jks");
keyStore.load(keyStoreData, keyPassword);
KeyStore.ProtectionParameter entryPassword = new KeyStore.PasswordProtection(keyPassword);
KeyStore.PrivateKeyEntry privateKeyEntry = (KeyStore.PrivateKeyEntry)keyStore.getEntry("alias", entryPassword);
System.out.println(privateKeyEntry.toString());
Se você precisa assinar uma string usando essa chave faça o seguinte:
Passo 1: Converter o texto que deseja criptografar
byte[] data = "test".getBytes("UTF8");
Passo 2: Get base64 codificado chave privada
keyStore.load(keyStoreData, keyPassword);
//get cert, pubkey and private key from the store by alias
Certificate cert = keyStore.getCertificate("localhost");
PublicKey publicKey = cert.getPublicKey();
KeyPair keyPair = new KeyPair(publicKey, (PrivateKey) key);
//sign with this alg
Signature sig = Signature.getInstance("SHA1WithRSA");
sig.initSign(keyPair.getPrivate());
sig.update(data);
byte[] signatureBytes = sig.sign();
System.out.println("Signature:" + Base64.getEncoder().encodeToString(signatureBytes));
sig.initVerify(keyPair.getPublic());
sig.update(data);
System.out.println(sig.verify(signatureBytes));
Referências:
- Como para importar um certificado x509 existente e chave privada no keystore Java para uso em SSL?
- http://tutorials.jenkov.com/java-cryptography/keystore.html
- http://www.java2s.com/Code/Java/Security /RetrievingaKeyPairfromaKeyStore.htm
- Como se inscrever corda com a chave privada
Programa final
public static void main(String[] args) throws Exception {
byte[] data = "test".getBytes("UTF8");
// load keystore
char[] keyPassword = "changeit".toCharArray();
KeyStore keyStore = KeyStore.getInstance("JKS");
//System.getProperty("user.dir") + "" < for a file in particular path
InputStream keyStoreData = new FileInputStream("keystore.jks");
keyStore.load(keyStoreData, keyPassword);
Key key = keyStore.getKey("localhost", keyPassword);
Certificate cert = keyStore.getCertificate("localhost");
PublicKey publicKey = cert.getPublicKey();
KeyPair keyPair = new KeyPair(publicKey, (PrivateKey) key);
Signature sig = Signature.getInstance("SHA1WithRSA");
sig.initSign(keyPair.getPrivate());
sig.update(data);
byte[] signatureBytes = sig.sign();
System.out.println("Signature:" + Base64.getEncoder().encodeToString(signatureBytes));
sig.initVerify(keyPair.getPublic());
sig.update(data);
System.out.println(sig.verify(signatureBytes));
}
Basta fazer um armazenamento de chave PKCS12, Java pode usá-lo diretamente agora. Na verdade, se você tiver um keystore Java-style, keytool-se alerta para o fato de que PKCS12 é agora o formato preferido.
openssl pkcs12 -export -in server.crt -inkey server.key \
-out server.p12 -name [some-alias] \
-CAfile ca.crt -caname root -chain
Você deve ter recebido todos os três arquivos (server.crt, server.key, ca.crt) de seu provedor de certificado. Eu não sei o que "root -caname" realmente significa, mas parece que tem que ser especificada dessa forma.
No código Java, certifique-se de especificar o tipo de armazenamento de chaves direita.
KeyStore.getInstance("PKCS12")
Eu tenho o meu trabalho excelentes certificado SSL comodo.com-emitida em NanoHTTPD desta forma.
Usando certificados Criptografar de Let
Assumindo que você tenha criado os seus certificados e chaves privadas com Vamos Criptografar em /etc/letsencrypt/live/you.com
:
1. Criar um arquivo PKCS # 12
openssl pkcs12 -export -in fullchain.pem -inkey privkey.pem -out pkcs.p12 \
-name letsencrypt
Isto combina seu fullchain.pem
certificado SSL e sua privkey.pem
chave privada em um único arquivo, pkcs.p12
.
Você será solicitado para uma senha para pkcs.p12
.
Os especifica opção export
que um arquivo PKCS # 12 serão criados em vez de analisados ??(de o manual).
2. Criar o Java keystore
keytool -importkeystore -destkeystore keystore.jks -srckeystore pkcs.p12 \
-srcstoretype PKCS12 -alias letsencrypt
Se keystore.jks
não existir, ele será criado contendo o arquivo pkcs.12
criado acima. Caso contrário, você vai importar pkcs.12
para o armazenamento de chaves existente.
Estas instruções são derivados de este post .
Aqui está mais sobre os diferentes tipos de arquivos em /etc/letsencrypt/live/you.com/
.
em caso de curva elíptica e responder à pergunta importar um certificado x509 existente e chave privada em Java keystore , você pode querer ter um olhar também para esta discussão Como ler tecla CE particulares em java que é em formato de arquivo .pem