PEMをJavaキーストアにインポートする


144

自分自身を認証する必要があるSSLサーバーに接続しようとしています。Apache MINAでSSLを使用するには、適切なJKSファイルが必要です。ただし、.PEMファイルしか提供されていません。

PEMファイルからJKSファイルを作成するにはどうすればよいですか?


1
このリンクが役に立つかもしれません:http
Laurent K

回答:


235

まず、証明書をDER形式に変換します。

openssl x509 -outform der -in certificate.pem -out certificate.der

その後、それをキーストアにインポートします。

keytool -import -alias your-alias -keystore cacerts -file certificate.der

7
.pemファイルに複数の証明書が含まれている場合は機能しません。
MarioVilas 14

14
私は単一の証明書.pemを持っていますが、これは機能しません。1795:error:0906D06C:PEMルーチン:PEM_read_bio:no start line:/ usr / src / secure / lib / libcrypto /../../../ crypto / openssl / crypto / pem / pem_lib.c:648:Expecting :信頼できる証明書
Brian Knoblauch 14

4
私は解決策を見つけました。ルート証明書と中間証明書を.pemに付加してから変換します。
Brian Knoblauch、2014

1
@Anthonyこのコマンドは、PEMをJKSにインポートする方法のみを示します。ストアからJKSをエクスポートするためのコマンドを追加することをお勧めします。
Vishal Biyani 2016年

2
.pemに複数の証明書がある場合、Javaキーストアにインポートするにはどうすればよいですか?
エリック2017年

55

PEM形式の証明書のみをキーストアにインポートする場合は、keytoolが次の処理を行います。

keytool -import -alias *alias* -keystore cacerts -file *cert.pem*

11
このようにすると、エラーが発生します
。keytool

1
@frandevel。このエラーは、PEM入力ファイルのヘッダーが--- BEGIN区切り文字よりも大きいか、1つのファイルまたは両方に複数のPEMがあるために発生する可能性があります。すべての無関係なデータを削除し、一度に1つずつ各PEMにフィードするか、私の回答に詳述されているように、私のツールを使用します。
Alastair McCormack

@Fuzzyfeltのおかげで、私は見て
いき

1
同じ問題があり、適切なヘッダーがすべて付いた.PEMファイルはクリーンです。
Brian Knoblauch 14

17

PEM証明書をJavaキーストアに直接インポートするhttp://code.google.com/p/java-keyutil/を開発しました。その主な目的は、ca-bundle.crtなどのマルチパートPEMオペレーティングシステム証明書バンドルをインポートすることです。これらには、keytoolが処理できないヘッダーが含まれていることがよくあります。

</self promotion>

4
悪いおもちゃのプロジェクトではありませんが、keytoolすでにあなたのために(そしてもっと)全部をやっています。(ちなみに、例外が発生した場合はFileOutputStream、を閉じ、でI / Oストリームを閉じる必要がありますfinally。)
Bruno

8
こんにちはブルーノ、ヒントをありがとう。実際の使用例は、/ etc / pki / tls / certs / ca-bundle.crt(RHEL / CentOS)のすべてのエントリを一度にインポートすることです。AFAIK、keytoolは最初のエントリのみをインポートします。多くの人がこれを異なる方法で行うのを見てきましたが、通常は、証明書ごとに複数回keytoolを呼び出す必要があります。Ubuntuには、これを正確に行う更新スクリプトがありますが、Ubuntuは証明書をディレクトリに保存します。近い将来、ディレクトリのサポートを追加する予定です。コードをご確認いただきありがとうございます。
Alastair McCormack

14

私の場合、相互SSL認証で使用される2つの証明書と暗号化された秘密鍵を含むpemファイルがありました。だから私のpemファイルは次のようになりました:

-----BEGIN CERTIFICATE-----

...

-----END CERTIFICATE-----

-----BEGIN RSA PRIVATE KEY-----

Proc-Type: 4,ENCRYPTED

DEK-Info: DES-EDE3-CBC,C8BF220FC76AA5F9

...

-----END RSA PRIVATE KEY-----

-----BEGIN CERTIFICATE-----

...

-----END CERTIFICATE-----

これが私がやったことです

ファイルを3つの個別のファイルに分割し、各ファイルに、行---BEGIN..で始まり---END..行で終わるエントリが1つだけ含まれるようにします。:私たちは今、3つのファイルを持っていると仮定しましょうcert1.pemcert2.pempkey.pem

pkey.pemopensslと次の構文を使用して、DER形式に変換します。

openssl pkcs8 -topk8 -nocrypt -in pkey.pem -inform PEM -out pkey.der -outform DER

秘密鍵が暗号化されている場合は、DER形式に変換するためにパスワードを入力する必要があります(元のpemファイルのサプライヤーから入手して opensslください)。次のようなパスワードを要求されます:「パスフレーズを入力してpkey.pemください:」。

変換が成功すると、という新しいファイルが作成されpkey.derます。

新しいJavaキーストアを作成し、秘密鍵と証明書をインポートします。

String keypass = "password";  // this is a new password, you need to come up with to protect your java key store file
String defaultalias = "importkey";
KeyStore ks = KeyStore.getInstance("JKS", "SUN");

// this section does not make much sense to me, 
// but I will leave it intact as this is how it was in the original example I found on internet:   
ks.load( null, keypass.toCharArray());
ks.store( new FileOutputStream ( "mykeystore"  ), keypass.toCharArray());
ks.load( new FileInputStream ( "mykeystore" ),    keypass.toCharArray());
// end of section..


// read the key file from disk and create a PrivateKey

FileInputStream fis = new FileInputStream("pkey.der");
DataInputStream dis = new DataInputStream(fis);
byte[] bytes = new byte[dis.available()];
dis.readFully(bytes);
ByteArrayInputStream bais = new ByteArrayInputStream(bytes);

byte[] key = new byte[bais.available()];
KeyFactory kf = KeyFactory.getInstance("RSA");
bais.read(key, 0, bais.available());
bais.close();

PKCS8EncodedKeySpec keysp = new PKCS8EncodedKeySpec ( key );
PrivateKey ff = kf.generatePrivate (keysp);


// read the certificates from the files and load them into the key store:

Collection  col_crt1 = CertificateFactory.getInstance("X509").generateCertificates(new FileInputStream("cert1.pem"));
Collection  col_crt2 = CertificateFactory.getInstance("X509").generateCertificates(new FileInputStream("cert2.pem"));

Certificate crt1 = (Certificate) col_crt1.iterator().next();
Certificate crt2 = (Certificate) col_crt2.iterator().next();
Certificate[] chain = new Certificate[] { crt1, crt2 };

String alias1 = ((X509Certificate) crt1).getSubjectX500Principal().getName();
String alias2 = ((X509Certificate) crt2).getSubjectX500Principal().getName();

ks.setCertificateEntry(alias1, crt1);
ks.setCertificateEntry(alias2, crt2);

// store the private key
ks.setKeyEntry(defaultalias, ff, keypass.toCharArray(), chain );

// save the key store to a file         
ks.store(new FileOutputStream ( "mykeystore" ),keypass.toCharArray());

(オプション)新しいキーストアの内容を確認します。

$ keytool -list -keystore mykeystore -storepass password

鍵ストア・タイプ:JKS鍵ストア・プロバイダー:SUN

キーストアには3つのエントリが含まれています。

  • cn = ...、ou = ...、o = ..、2014年9月2日、trustedCertEntry、証明書のフィンガープリント(SHA1):2C:B8:...

  • importkey、2014年9月2日、PrivateKeyEntry、証明書のフィンガープリント(SHA1):9C:B0:...

  • cn = ...、o = ....、2014年9月2日、trustedCertEntry、証明書のフィンガープリント(SHA1):83:63:...

(オプション)SSLサーバーに対して新しい鍵ストアから証明書と秘密鍵をテストします(VMオプションとしてデバッグを有効にすることができます:-Djavax.net.debug = all)

        char[] passw = "password".toCharArray();
        KeyStore ks = KeyStore.getInstance("JKS", "SUN");
        ks.load(new FileInputStream ( "mykeystore" ), passw );

        KeyManagerFactory kmf = KeyManagerFactory.getInstance("SunX509");
        kmf.init(ks, passw);

        TrustManagerFactory tmf = TrustManagerFactory.getInstance(TrustManagerFactory.getDefaultAlgorithm());
        tmf.init(ks);
        TrustManager[] tm = tmf.getTrustManagers();

        SSLContext sclx = SSLContext.getInstance("TLS");
        sclx.init( kmf.getKeyManagers(), tm, null);

        SSLSocketFactory factory = sclx.getSocketFactory();
        SSLSocket socket = (SSLSocket) factory.createSocket( "192.168.1.111", 443 );
        socket.startHandshake();

        //if no exceptions are thrown in the startHandshake method, then everything is fine..

最後に、証明書を使用する場合は、HttpsURLConnectionに証明書を登録します。

        char[] passw = "password".toCharArray();
        KeyStore ks = KeyStore.getInstance("JKS", "SUN");
        ks.load(new FileInputStream ( "mykeystore" ), passw );

        KeyManagerFactory kmf = KeyManagerFactory.getInstance("SunX509");
        kmf.init(ks, passw);

        TrustManagerFactory tmf = TrustManagerFactory.getInstance(TrustManagerFactory.getDefaultAlgorithm());
        tmf.init(ks);
        TrustManager[] tm = tmf.getTrustManagers();

        SSLContext sclx = SSLContext.getInstance("TLS");
        sclx.init( kmf.getKeyManagers(), tm, null);

        HostnameVerifier hv = new HostnameVerifier()
        {
            public boolean verify(String urlHostName, SSLSession session)
            {
                if (!urlHostName.equalsIgnoreCase(session.getPeerHost()))
                {
                    System.out.println("Warning: URL host '" + urlHostName + "' is different to SSLSession host '" + session.getPeerHost() + "'.");
                }
                return true;
            }
        };

        HttpsURLConnection.setDefaultSSLSocketFactory( sclx.getSocketFactory() );
        HttpsURLConnection.setDefaultHostnameVerifier(hv);

ホスト名ベリファイアが間違ってsession.getPeerHost()おり、証明書の名前は返されませんが、接続した名前(つまり、urlHostNameここ)が返されるため、常に真になります。trueとにかく、いつでも戻ってきます。
Bruno

9

外部ツール(opensll、keytool)を処理することなく PEMファイルをJavaにロードする簡単な方法が必要な場合は、ここで私が本番環境で使用するコードを示します。

import java.io.BufferedReader;
import java.io.ByteArrayInputStream;
import java.io.File;
import java.io.FileReader;
import java.io.IOException;
import java.security.KeyFactory;
import java.security.KeyStore;
import java.security.KeyStoreException;
import java.security.NoSuchAlgorithmException;
import java.security.PrivateKey;
import java.security.cert.CertificateException;
import java.security.cert.CertificateFactory;
import java.security.cert.X509Certificate;
import java.security.interfaces.RSAPrivateKey;
import java.security.spec.InvalidKeySpecException;
import java.security.spec.PKCS8EncodedKeySpec;
import java.util.ArrayList;
import java.util.List;

import javax.net.ssl.KeyManager;
import javax.net.ssl.KeyManagerFactory;
import javax.net.ssl.SSLContext;
import javax.net.ssl.SSLServerSocketFactory;
import javax.xml.bind.DatatypeConverter;

public class PEMImporter {

    public static SSLServerSocketFactory createSSLFactory(File privateKeyPem, File certificatePem, String password) throws Exception {
        final SSLContext context = SSLContext.getInstance("TLS");
        final KeyStore keystore = createKeyStore(privateKeyPem, certificatePem, password);
        final KeyManagerFactory kmf = KeyManagerFactory.getInstance("SunX509");
        kmf.init(keystore, password.toCharArray());
        final KeyManager[] km = kmf.getKeyManagers();
        context.init(km, null, null);
        return context.getServerSocketFactory();
    }

    /**
     * Create a KeyStore from standard PEM files
     * 
     * @param privateKeyPem the private key PEM file
     * @param certificatePem the certificate(s) PEM file
     * @param the password to set to protect the private key
     */
    public static KeyStore createKeyStore(File privateKeyPem, File certificatePem, final String password)
            throws Exception, KeyStoreException, IOException, NoSuchAlgorithmException, CertificateException {
        final X509Certificate[] cert = createCertificates(certificatePem);
        final KeyStore keystore = KeyStore.getInstance("JKS");
        keystore.load(null);
        // Import private key
        final PrivateKey key = createPrivateKey(privateKeyPem);
        keystore.setKeyEntry(privateKeyPem.getName(), key, password.toCharArray(), cert);
        return keystore;
    }

    private static PrivateKey createPrivateKey(File privateKeyPem) throws Exception {
        final BufferedReader r = new BufferedReader(new FileReader(privateKeyPem));
        String s = r.readLine();
        if (s == null || !s.contains("BEGIN PRIVATE KEY")) {
            r.close();
            throw new IllegalArgumentException("No PRIVATE KEY found");
        }
        final StringBuilder b = new StringBuilder();
        s = "";
        while (s != null) {
            if (s.contains("END PRIVATE KEY")) {
                break;
            }
            b.append(s);
            s = r.readLine();
        }
        r.close();
        final String hexString = b.toString();
        final byte[] bytes = DatatypeConverter.parseBase64Binary(hexString);
        return generatePrivateKeyFromDER(bytes);
    }

    private static X509Certificate[] createCertificates(File certificatePem) throws Exception {
        final List<X509Certificate> result = new ArrayList<X509Certificate>();
        final BufferedReader r = new BufferedReader(new FileReader(certificatePem));
        String s = r.readLine();
        if (s == null || !s.contains("BEGIN CERTIFICATE")) {
            r.close();
            throw new IllegalArgumentException("No CERTIFICATE found");
        }
        StringBuilder b = new StringBuilder();
        while (s != null) {
            if (s.contains("END CERTIFICATE")) {
                String hexString = b.toString();
                final byte[] bytes = DatatypeConverter.parseBase64Binary(hexString);
                X509Certificate cert = generateCertificateFromDER(bytes);
                result.add(cert);
                b = new StringBuilder();
            } else {
                if (!s.startsWith("----")) {
                    b.append(s);
                }
            }
            s = r.readLine();
        }
        r.close();

        return result.toArray(new X509Certificate[result.size()]);
    }

    private static RSAPrivateKey generatePrivateKeyFromDER(byte[] keyBytes) throws InvalidKeySpecException, NoSuchAlgorithmException {
        final PKCS8EncodedKeySpec spec = new PKCS8EncodedKeySpec(keyBytes);
        final KeyFactory factory = KeyFactory.getInstance("RSA");
        return (RSAPrivateKey) factory.generatePrivate(spec);
    }

    private static X509Certificate generateCertificateFromDER(byte[] certBytes) throws CertificateException {
        final CertificateFactory factory = CertificateFactory.getInstance("X.509");
        return (X509Certificate) factory.generateCertificate(new ByteArrayInputStream(certBytes));
    }

}

楽しんで。


質問は、「SSL over Apache MINA」に関するものでした。これは、提供されている「PEM関数からのSSLServerSocketFactory」を使用して設定する方が簡単です。mina.apache.org/ mina-project / userguide / ch11-ssl-filter /…を参照してください。
BluEOS

8

これは私がたまに行うことなので、これを行う方法を常に忘れています。これは1つの可能な解決策であり、うまく機能します。

  1. お気に入りのブラウザに移動し、安全なWebサイトからメイン証明書をダウンロードします。
  2. 次の2行のコードを実行します。

    $ openssl x509 -outform der -in GlobalSignRootCA.crt -out GlobalSignRootCA.der
    $ keytool -import -alias GlobalSignRootCA -keystore GlobalSignRootCA.jks -file GlobalSignRootCA.der
  3. Java SE環境で実行する場合は、次のオプションを追加します。

    $ java -Djavax.net.ssl.trustStore=GlobalSignRootCA.jks -Djavax.net.ssl.trustStorePassword=trustStorePassword -jar MyJar.jar
  4. または、Javaコードに以下を追加します。

    System.setProperty("javax.net.ssl.trustStore", "GlobalSignRootCA.jks");
    System.setProperty("javax.net.ssl.trustStorePassword","trustStorePassword");

手順2のもう1つのオプションは、keytoolコマンドを使用することです。以下は証明書のチェーンの例です。

$ keytool -import -file org.eu.crt -alias orgcrt -keystore globalsignrs.jks
$ keytool -import -file GlobalSignOrganizationValidationCA-SHA256-G2.crt -alias globalsignorgvalca -keystore globalsignrs.jks
$ keytool -import -file GlobalSignRootCA.crt -alias globalsignrootca -keystore globalsignrs.jks

6

Keystore Explorerを使用しました

  1. 秘密鍵でJKSを開く
  2. CAから署名されたPEMを調べる
  3. インポートキー
  4. JKSを保存

3
キーストアエクスプローラーは、すばらしく、非常に用途が広いです。ターミナルで数分を費やす時間を1回節約します。
TheRealChx101

3

視覚的なJKSの作成と証明書のインポートを可能にするGUIツールもあります。

http://portecle.sourceforge.net/

Portecleは、キーストア、キー、証明書、証明書リクエスト、証明書失効リストなどを作成、管理、検査するためのユーザーフレンドリーなGUIアプリケーションです。


1
キーストアエクスプローラーは、portecleの最新バージョンです。メニューと機能に違いはありません。
Setmax

0

インターネットから手に入れた。これは、複数のエントリを含むPEMファイルに対して非常によく機能します。

#!/bin/bash
pemToJks()
{
        # number of certs in the PEM file
        pemCerts=$1
        certPass=$2
        newCert=$(basename "$pemCerts")
        newCert="${newCert%%.*}"
        newCert="${newCert}"".JKS"
        ##echo $newCert $pemCerts $certPass
        CERTS=$(grep 'END CERTIFICATE' $pemCerts| wc -l)
        echo $CERTS
        # For every cert in the PEM file, extract it and import into the JKS keystore
        # awk command: step 1, if line is in the desired cert, print the line
        #              step 2, increment counter when last line of cert is found
        for N in $(seq 0 $(($CERTS - 1))); do
          ALIAS="${pemCerts%.*}-$N"
          cat $pemCerts |
                awk "n==$N { print }; /END CERTIFICATE/ { n++ }" |
                $KEYTOOLCMD -noprompt -import -trustcacerts \
                                -alias $ALIAS -keystore $newCert -storepass $certPass
        done
}
pemToJks <pem to import> <pass for new jks>
弊社のサイトを使用することにより、あなたは弊社のクッキーポリシーおよびプライバシーポリシーを読み、理解したものとみなされます。
Licensed under cc by-sa 3.0 with attribution required.