SSLで使用するためにJavaキーストアに既存のX.509証明書と秘密鍵をインポートする方法は?


228

私はこれをActiveMQ設定に持っています:

<sslContext>
        <sslContext keyStore="file:/home/alex/work/amq/broker.ks"  
 keyStorePassword="password" trustStore="file:${activemq.base}/conf/broker.ts" 
 trustStorePassword="password"/>
</sslContext>

X.509証明書とキーファイルのペアを持っています。

これら2つをインポートして、SSLおよびSSL + stompコネクタで使用するにはどうすればよいですか?私がグーグルできるすべての例は常に自分でキーを生成しますが、すでにキーを持っています。

私が試してみました

keytool -import  -keystore ./broker.ks -file mycert.crt

ただし、これは証明書のみをインポートし、キーファイルはインポートしないため、

2009-05-25 13:16:24,270 [localhost:61612] ERROR TransportConnector - Could not accept connection : No available certificate or key corresponds to the SSL cipher suites which are enabled.

証明書とキーを連結してみましたが、同じ結果が得られました。

キーをインポートするにはどうすればよいですか?


1
これを行うには実際に少しコードを書く必要があり、詳細はインポートしようとしている秘密鍵のフォーマットによって異なります。あなたの鍵はどのフォーマットですか?所有しているキーと証明書を生成するために使用したツールについて説明できますか?
エリクソン2009年

Spring Bootでの双方向SSL(クライアントおよびサーバー証明書)については、stackoverflow.com
a / 59317888/548473を

回答:


73

信じられないかもしれませんが、keytoolには、秘密鍵をキーストアにインポートするような基本的な機能はありません。PKSC12ファイルと秘密鍵をキーストアにマージして、この回避策を試すことができます。

または、keytool.exeの代わりに、IBMのより使いやすいKeyManをキーストアの処理に使用します。


11
CoverosGeneの回答によれば、keytoolはJava 6以降でそれをサポートしています。これは彼が提供したリンクです
Houtman

何それの価値については、このテーマに関するすべてのノイズのために、最高のリンクは、この2008年のポストにマテイの「回避策」リンク@です:cunning.sharp.fm/2008/06/importing_private_keys_into_a.html
cloudsurfin

2
CoverosGeneから提供された回答をたどったところ、うまくいきました。
Robert3452 2016年

1
KeyManは私にはそれほどユーザーフレンドリーではないようです。
Miscreant

15
リンク切れ。ソリューションの詳細を直接回答に含めてください:-(
lilalinux

536

他の回答にリンクされているコメント/投稿で見つけた次の2つの手順を使用しました。

ステップ1:x.509証明書とキーをpkcs12ファイルに変換する

openssl pkcs12 -export -in server.crt -inkey server.key \
               -out server.p12 -name [some-alias] \
               -CAfile ca.crt -caname root

注:必ずpkcs12ファイルにパスワードを設定してください。そうしないと、インポートしようとするとnullポインター例外が発生します。(他の誰かがこの頭痛を抱えている場合に備えて)。(ありがとうjocull!

注2:-chain証明書チェーン全体を保持するオプションを追加することもできます。(ありがとうマフバ

ステップ2:pkcs12ファイルをJavaキーストアに変換する

keytool -importkeystore \
        -deststorepass [changeit] -destkeypass [changeit] -destkeystore server.keystore \
        -srckeystore server.p12 -srcstoretype PKCS12 -srcstorepass some-password \
        -alias [some-alias]

完成した

オプションステップ0:自己署名証明書を作成する

openssl genrsa -out server.key 2048
openssl req -new -out server.csr -key server.key
openssl x509 -req -days 365 -in server.csr -signkey server.key -out server.crt

乾杯!


12
p12ファイルには必ずパスワードを設定してください。そうしないと、インポートしようとするとnull参照例外が発生します。(他の誰かがこの頭痛を抱えていた場合)
ジョクル

9
私の場合、ステップ1で、オプション-CAfile ca.crt -caname rootはCA証明書を正しく出力しませんでした。代わりに私が使用しました-certfile concatenedCAFiles.pem
dcernahoschi

11
-chainキーストアに必要な場合は、opensslで引数を使用して、完全な証明書チェーンをpfx / p12ファイルに含めることを忘れないでください。
マフバ2013

3
Windows環境では、pvk2pfx(VS cmdプロンプトで使用できる標準のVSツール)は.pfx-に相当します.p12。@jocullのアドバイスは今でも重要です。その上にパスワードを置きます。openssl必要ありません。
Ben Mosher 2013年

9
特にTomcatでは、キーストアキーのパスワードが同じであることが不可欠です。.p12キーをインポートすると、キーには元の.p12.Tomcatのパスワードが含まれ、で失敗しjava.security.UnrecoverableKeyException: Cannot recover keyます。言い換えれば-deststorepass changeit -srcstorepass some-password異なるパスワードで実行する必要がある場合-destkeypass changeit(と同じパスワードで-deststorepass)含める必要あります
Slav

127

Java 6のKeytoolには次の機能があります。keytoolを使用してJavaキーストアに秘密鍵をインポートする

その投稿の基本的な詳細は次のとおりです。

  1. OpenSSLを使用して、既存の証明書をPKCS12に変換します。要求されたときにパスワードが必要です。そうしないと、2番目のステップで問題が発生します。

    openssl pkcs12 -export -in [my_certificate.crt] -inkey [my_key.key] -out [keystore.p12] -name [new_alias] -CAfile [my_ca_bundle.crt] -caname root
  2. PKCS12をJavaキーストアファイルに変換します。

    keytool -importkeystore -deststorepass [new_keystore_pass] -destkeypass [new_key_pass] -destkeystore [keystore.jks] -srckeystore [keystore.p12] -srcstoretype PKCS12 -srcstorepass [pass_used_in_p12_keystore] -alias [alias_used_in_p12_keystore]

4
@retoによる回答には、このリンクの内容が含まれています。
マフバ2013

4
@Mafubaで述べられているように、opensslなどの非Javaツールを使用して別のpkcs12キーストアを作成する必要があります。retoの回答で述べられているように、これはkeytoolでjksストアにインポートできます。
Mister_Tom 2013

これを良い答えにする1つのことは、入力証明書が括弧内に明確に指定されているという事実です。
ブドリス氏

FWIWは、ステップ1の出力は、すでに( -あなたがない限り、ステップ2は必要とされないこともので、Javaキーストアとして使用可能である必要がありませんに証明書+キーをインポートする必要があり、既存すでに@ jaco0646で前の回答で述べたように-キーストアを)
Janaka Bandara

9

そしてもう一つ:

#!/bin/bash

# We have:
#
# 1) $KEY : Secret key in PEM format ("-----BEGIN RSA PRIVATE KEY-----") 
# 2) $LEAFCERT : Certificate for secret key obtained from some
#    certification outfit, also in PEM format ("-----BEGIN CERTIFICATE-----")   
# 3) $CHAINCERT : Intermediate certificate linking $LEAFCERT to a trusted
#    Self-Signed Root CA Certificate 
#
# We want to create a fresh Java "keystore" $TARGET_KEYSTORE with the
# password $TARGET_STOREPW, to be used by Tomcat for HTTPS Connector.
#
# The keystore must contain: $KEY, $LEAFCERT, $CHAINCERT
# The Self-Signed Root CA Certificate is obtained by Tomcat from the
# JDK's truststore in /etc/pki/java/cacerts

# The non-APR HTTPS connector (APR uses OpenSSL-like configuration, much
# easier than this) in server.xml looks like this 
# (See: https://tomcat.apache.org/tomcat-6.0-doc/ssl-howto.html):
#
#  <Connector port="8443" protocol="org.apache.coyote.http11.Http11Protocol"
#                SSLEnabled="true"
#                maxThreads="150" scheme="https" secure="true"
#                clientAuth="false" sslProtocol="TLS"
#                keystoreFile="/etc/tomcat6/etl-web.keystore.jks"
#                keystorePass="changeit" />
#

# Let's roll:    

TARGET_KEYSTORE=/etc/tomcat6/foo-server.keystore.jks
TARGET_STOREPW=changeit

TLS=/etc/pki/tls

KEY=$TLS/private/httpd/foo-server.example.com.key
LEAFCERT=$TLS/certs/httpd/foo-server.example.com.pem
CHAINCERT=$TLS/certs/httpd/chain.cert.pem

# ----
# Create PKCS#12 file to import using keytool later
# ----

# From https://www.sslshopper.com/ssl-converter.html:
# The PKCS#12 or PFX format is a binary format for storing the server certificate,
# any intermediate certificates, and the private key in one encryptable file. PFX
# files usually have extensions such as .pfx and .p12. PFX files are typically used 
# on Windows machines to import and export certificates and private keys.

TMPPW=$$ # Some random password

PKCS12FILE=`mktemp`

if [[ $? != 0 ]]; then
  echo "Creation of temporary PKCS12 file failed -- exiting" >&2; exit 1
fi

TRANSITFILE=`mktemp`

if [[ $? != 0 ]]; then
  echo "Creation of temporary transit file failed -- exiting" >&2; exit 1
fi

cat "$KEY" "$LEAFCERT" > "$TRANSITFILE"

openssl pkcs12 -export -passout "pass:$TMPPW" -in "$TRANSITFILE" -name etl-web > "$PKCS12FILE"

/bin/rm "$TRANSITFILE"

# Print out result for fun! Bug in doc (I think): "-pass " arg does not work, need "-passin"

openssl pkcs12 -passin "pass:$TMPPW" -passout "pass:$TMPPW" -in "$PKCS12FILE" -info

# ----
# Import contents of PKCS12FILE into a Java keystore. WTF, Sun, what were you thinking?
# ----

if [[ -f "$TARGET_KEYSTORE" ]]; then
  /bin/rm "$TARGET_KEYSTORE"
fi

keytool -importkeystore \
   -deststorepass  "$TARGET_STOREPW" \
   -destkeypass    "$TARGET_STOREPW" \
   -destkeystore   "$TARGET_KEYSTORE" \
   -srckeystore    "$PKCS12FILE" \
   -srcstoretype  PKCS12 \
   -srcstorepass  "$TMPPW" \
   -alias foo-the-server

/bin/rm "$PKCS12FILE"

# ----
# Import the chain certificate. This works empirically, it is not at all clear from the doc whether this is correct
# ----

echo "Importing chain"

TT=-trustcacerts

keytool -import $TT -storepass "$TARGET_STOREPW" -file "$CHAINCERT" -keystore "$TARGET_KEYSTORE" -alias chain

# ----
# Print contents
# ----

echo "Listing result"

keytool -list -storepass "$TARGET_STOREPW" -keystore "$TARGET_KEYSTORE"

9

最初にp12に変換します。

openssl pkcs12 -export -in [filename-certificate] -inkey [filename-key] -name [host] -out [filename-new-PKCS-12.p12]

p12から新しいJKSを作成します。

keytool -importkeystore -deststorepass [password] -destkeystore [filename-new-keystore.jks] -srckeystore [filename-new-PKCS-12.p12] -srcstoretype PKCS12


6

私の場合、2つの証明書と相互SSL認証で使用される暗号化された秘密鍵を含むpemファイルがありました。だから私のpemファイルは次のようになりました:

-----BEGIN CERTIFICATE-----
...
-----END CERTIFICATE-----
-----BEGIN RSA PRIVATE KEY-----
Proc-Type: 4,ENCRYPTED
DEK-Info: DES-EDE3-CBC,C8BF220FC76AA5F9
...
-----END RSA PRIVATE KEY-----
-----BEGIN CERTIFICATE-----
...
-----END CERTIFICATE-----

これが私がしたことです:

ファイルを3つのファイルに分割し、各ファイルに「--- BEGIN ..」で始まり「--- END ..」行で終わる1つのエントリのみが含まれるようにします。今、3つのファイルがあるとしましょう:cert1.pem cert2.pemとpkey.pem

opensslと次の構文を使用して、pkey.pemをDER形式に変換します。

openssl pkcs8 -topk8 -nocrypt -in pkey.pem -inform PEM -out pkey.der -outform DER

秘密鍵が暗号化されている場合は、DER形式に変換するためにパスワードを入力する必要があります(元のpemファイルのサプライヤーから入手してください)。opensslは次のようなパスワードを要求します: "pkeyのパスフレーズを入力してください.pem: "変換が成功すると、" pkey.der "という新しいファイルが作成されます

新しいJavaキーストアを作成し、秘密キーと証明書をインポートします。

String keypass = "password";  // this is a new password, you need to come up with to protect your java key store file
String defaultalias = "importkey";
KeyStore ks = KeyStore.getInstance("JKS", "SUN");

// this section does not make much sense to me, 
// but I will leave it intact as this is how it was in the original example I found on internet:   
ks.load( null, keypass.toCharArray());
ks.store( new FileOutputStream ( "mykeystore"  ), keypass.toCharArray());
ks.load( new FileInputStream ( "mykeystore" ),    keypass.toCharArray());
// end of section..


// read the key file from disk and create a PrivateKey

FileInputStream fis = new FileInputStream("pkey.der");
DataInputStream dis = new DataInputStream(fis);
byte[] bytes = new byte[dis.available()];
dis.readFully(bytes);
ByteArrayInputStream bais = new ByteArrayInputStream(bytes);

byte[] key = new byte[bais.available()];
KeyFactory kf = KeyFactory.getInstance("RSA");
bais.read(key, 0, bais.available());
bais.close();

PKCS8EncodedKeySpec keysp = new PKCS8EncodedKeySpec ( key );
PrivateKey ff = kf.generatePrivate (keysp);


// read the certificates from the files and load them into the key store:

Collection  col_crt1 = CertificateFactory.getInstance("X509").generateCertificates(new FileInputStream("cert1.pem"));
Collection  col_crt2 = CertificateFactory.getInstance("X509").generateCertificates(new FileInputStream("cert2.pem"));

Certificate crt1 = (Certificate) col_crt1.iterator().next();
Certificate crt2 = (Certificate) col_crt2.iterator().next();
Certificate[] chain = new Certificate[] { crt1, crt2 };

String alias1 = ((X509Certificate) crt1).getSubjectX500Principal().getName();
String alias2 = ((X509Certificate) crt2).getSubjectX500Principal().getName();

ks.setCertificateEntry(alias1, crt1);
ks.setCertificateEntry(alias2, crt2);

// store the private key
ks.setKeyEntry(defaultalias, ff, keypass.toCharArray(), chain );

// save the key store to a file         
ks.store(new FileOutputStream ( "mykeystore" ),keypass.toCharArray());

(オプション)新しいキーストアの内容を確認します。

keytool -list -keystore mykeystore -storepass password

鍵ストア・タイプ:JKS鍵ストア・プロバイダー:SUN

キーストアには3つのエントリが含まれています

cn = ...、ou = ...、o = ..、2014年9月2日、trustedCertEntry、証明書のフィンガープリント(SHA1):2C:B8:...

importkey、2014年9月2日、PrivateKeyEntry、証明書のフィンガープリント(SHA1):9C:B0:...

cn = ...、o = ....、2014年9月2日、trustedCertEntry、証明書のフィンガープリント(SHA1):83:63:...

(オプション)SSLサーバーに対して新しい鍵ストアから証明書と秘密鍵をテストします(VMオプションとしてデバッグを有効にすることをお勧めします:-Djavax.net.debug = all)

        char[] passw = "password".toCharArray();
        KeyStore ks = KeyStore.getInstance("JKS", "SUN");
        ks.load(new FileInputStream ( "mykeystore" ), passw );

        KeyManagerFactory kmf = KeyManagerFactory.getInstance("SunX509");
        kmf.init(ks, passw);

        TrustManagerFactory tmf = TrustManagerFactory.getInstance(TrustManagerFactory.getDefaultAlgorithm());
        tmf.init(ks);
        TrustManager[] tm = tmf.getTrustManagers();

        SSLContext sclx = SSLContext.getInstance("TLS");
        sclx.init( kmf.getKeyManagers(), tm, null);

        SSLSocketFactory factory = sclx.getSocketFactory();
        SSLSocket socket = (SSLSocket) factory.createSocket( "192.168.1.111", 443 );
        socket.startHandshake();

        //if no exceptions are thrown in the startHandshake method, then everything is fine..

最後に、証明書を使用する場合は、HttpsURLConnectionに証明書を登録します。

        char[] passw = "password".toCharArray();
        KeyStore ks = KeyStore.getInstance("JKS", "SUN");
        ks.load(new FileInputStream ( "mykeystore" ), passw );

        KeyManagerFactory kmf = KeyManagerFactory.getInstance("SunX509");
        kmf.init(ks, passw);

        TrustManagerFactory tmf = TrustManagerFactory.getInstance(TrustManagerFactory.getDefaultAlgorithm());
        tmf.init(ks);
        TrustManager[] tm = tmf.getTrustManagers();

        SSLContext sclx = SSLContext.getInstance("TLS");
        sclx.init( kmf.getKeyManagers(), tm, null);

        HostnameVerifier hv = new HostnameVerifier()
        {
            public boolean verify(String urlHostName, SSLSession session)
            {
                if (!urlHostName.equalsIgnoreCase(session.getPeerHost()))
                {
                    System.out.println("Warning: URL host '" + urlHostName + "' is different to SSLSession host '" + session.getPeerHost() + "'.");
                }
                return true;
            }
        };

        HttpsURLConnection.setDefaultSSLSocketFactory( sclx.getSocketFactory() );
        HttpsURLConnection.setDefaultHostnameVerifier(hv);

ただし、ブルーノはこのホスト名ベリファイアが間違っていると述べました。とにかくあなたはとにかく真に戻っています。–ブルーノ」それは私にとってもうまくいきましたが、誰かが私に良いホスト名検証を書く方法を教えてくれれば幸いです。
Interkot 2014

1
もちろん、エラーが発生したとしても、エラーが発生することはないので、問題なく機能します。HttpsURLConnection独自のものを作成する代わりに、デフォルトのホスト名検証を使用したままにします。(この例のもう1つの問題は、キーストアおよびトラストストアと同じキーストアを使用していることです。これは常に良いアイデアとは限りません...)
Bruno

6

Let's Encrypt証明書の使用

Let's Encryptで証明書と秘密鍵を作成したと仮定します/etc/letsencrypt/live/you.com

1. PKCS#12ファイルを作成する

openssl pkcs12 -export -in fullchain.pem -inkey privkey.pem -out pkcs.p12 \
        -name letsencrypt

これにより、SSL証明書fullchain.pemと秘密鍵privkey.pemが1つのファイルに結合されますpkcs.p12

のパスワードの入力を求められpkcs.p12ます。

このexportオプションは、PKCS#12ファイルが(マニュアルから)解析されるのではなく作成されることを指定します。

2. Javaキーストアを作成する

keytool -importkeystore -destkeystore keystore.jks -srckeystore pkcs.p12 \
        -srcstoretype PKCS12 -alias letsencrypt

keystore.jks存在しない場合は、pkcs.12上記で作成したファイルを含めて作成されます。それ以外の場合はpkcs.12、既存のキーストアにインポートします。


これらの手順は、このブログ投稿から派生しています。

ここでは、のさまざまな種類のファイルについて詳しく説明します/etc/letsencrypt/live/you.com/


5

上記の回答に基づいて、keytoolを使用して個別に作成されたComodo証明書と秘密鍵から、JavaベースのWebサーバー用の新しいキーストアを作成する方法を次に示します(JDK 1.6以降が必要です)

  1. このコマンドを発行し、パスワードプロンプトでsomepassと入力します。「server.crt」はサーバーの証明書で、「server.key」はCSRの発行に使用した秘密鍵です。 openssl pkcs12 -export -in server.crt -inkey server.key -out server.p12 -name www.yourdomain.com -CAfile AddTrustExternalCARoot.crt -caname "AddTrust External CA Root"

  2. 次に、keytoolを使用してp12キーストアをjksキーストアに変換します。 keytool -importkeystore -deststorepass somepass -destkeypass somepass -destkeystore keystore.jks -srckeystore server.p12 -srcstoretype PKCS12 -srcstorepass somepass

次に、Comodoから受け取った他の2つのルート/中間証明書をインポートします。

  1. COMODORSAAddTrustCA.crtをインポートします。 keytool -import -trustcacerts -alias cert1 -file COMODORSAAddTrustCA.crt -keystore keystore.jks

  2. COMODORSADomainValidationSecureServerCA.crtをインポートします。 keytool -import -trustcacerts -alias cert2 -file COMODORSADomainValidationSecureServerCA.crt -keystore keystore.jks


4

これらの手順を使用して、既存のキーストアにキーをインポートできます。手順は、このスレッドおよび他のサイトでの回答を組み合わせたものです。これらの手順は私(Javaキーストア)のために働いた:

  1. 走る

openssl pkcs12 -export -in yourserver.crt -inkey yourkey.key -out server.p12 -name somename -certfile yourca.crt -caname root

(必要に応じて、-chainオプションを指定します。それを指定すると失敗しました)。これによりパスワードが要求されます-正しいパスワードを入力する必要があります。そうしないと、エラー(見出しエラーやパディングエラーなど)が発生します。

  1. 新しいパスワードを入力するように求められます-ここにパスワードを入力する必要があります-それ以外は何でも入力してください。(アラゴルンに入ると仮定しましょう)。
  2. これにより、pkcs形式のserver.p12ファイルが作成されます。
  3. それを*.jksファイルにインポートするために実行します:(
    keytool -importkeystore -srckeystore server.p12 -srcstoretype PKCS12 -destkeystore yourexistingjavakeystore.jks -deststoretype JKS -deststorepass existingjavastorepassword -destkeypass existingjavastorepassword
    非常に重要-deststorepassとdestkeypassパラメータを省略しないでください。)
  4. srcキーストアのパスワードを要求されます。Aragornに入り、Enterキーを押します。これで、証明書とキーが既存のJavaキーストアにインポートされます。

3

以前の回答は、JKSファイルを最初にPKCS#12形式に変換することによって標準のJDKツールでのみこれを実行できることを正しく指摘しています。興味がある場合は、最初にキーストアをPKCS#12に変換する必要なく、OpenSSLから派生したキーをJKS形式のキーストアにインポートするためのコンパクトなユーティリティをまとめました。http//commandlinefanatic.com/cgi-bin/showarticle。 cgi?article = art049

次のようなリンクされたユーティリティを使用します。

$ openssl req -x509 -newkey rsa:2048 -keyout localhost.key -out localhost.csr -subj "/CN=localhost"

(CSRに署名し、localhost.cerを取得します)

$ openssl rsa -in localhost.key -out localhost.rsa
Enter pass phrase for localhost.key:
writing RSA key
$ java -classpath . KeyImport -keyFile localhost.rsa -alias localhost -certificateFile localhost.cer -keystore localhost.jks -keystorePassword changeit -keystoreType JKS -keyPassword changeit

自分のライブラリ(またはユーティリティ)にリンクするだけでは適切な答えではありません。それへのリンク、それが問題を解決する理由の説明、それを使用してそれを行うためのコードを提供すること、および否認することは、より良い答えになります。参照:コミュニティフレンドリーな方法で外部リソースにリンクするにはどうすればよいですか?
Mogsdad 2016年

「免責事項」の意味がわかりませんが、例を追加しました。
Joshua Davies

すごい!リンク製品またはサービスを使用して提携を報告する放棄する手段を、あなたは「私は一緒に入れて...」とやっている-一部は適用されませんでしたので、それは、缶詰のコメントだ
Mogsdad

3

以下server.pemを含むPEMファイル(など)がある場合:

  • 信頼できる証明書
  • 秘密鍵

次に、証明書とキーを次のようにJKSキーストアにインポートできます。

1)秘密鍵をPEMファイルからASCIIファイルにコピーします(例server.key

2)証明書をPEMファイルからASCIIファイルにコピーします(例server.crt

3)証明書とキーをPKCS12ファイルにエクスポートします。

$ openssl pkcs12 -export -in server.crt -inkey server.key \
                 -out server.p12 -name [some-alias] -CAfile server.pem -caname root
  • PEMファイルは、-CAfileオプションの引数として使用できます
  • 「エクスポート」パスワードの入力を求められます。
  • git bashでこれを行う場合winptyは、コマンドの先頭に追加して、エクスポートパスワードを入力できるようにします。

4)PKCS12ファイルをJKSキーストアに変換します。

$ keytool -importkeystore -deststorepass changeit -destkeypass changeit \
          -destkeystore keystore.jks  -srckeystore server.p12 -srcstoretype PKCS12 \
          -srcstorepass changeit
  • srcstorepassパスワードは、ステップ3)のエクスポートパスワードと一致する必要があります。

3

私が達成しようとしていたことは、すでに提供された秘密鍵と証明書を使用して、メッセージが私からのものであることを確認するために必要な場所に行くメッセージに署名することでした(公開鍵は暗号化しながら秘密鍵は署名します)。

では、すでに.keyファイルと.crtファイルがある場合はどうでしょうか。

これを試して:

手順1:キーと証明書を.p12ファイルに変換する

openssl pkcs12 -export -in certificate.crt -inkey privateKey.key -name alias -out yourconvertedfile.p12

手順2:キーをインポートし、1つのコマンドで.jskファイルを作成する

keytool -importkeystore -deststorepass changeit -destkeystore keystore.jks -srckeystore umeme.p12 -srcstoretype PKCS12

ステップ3: Javaで:

char[] keyPassword = "changeit".toCharArray();

KeyStore keyStore = KeyStore.getInstance("JKS");
InputStream keyStoreData = new FileInputStream("keystore.jks");

keyStore.load(keyStoreData, keyPassword);
KeyStore.ProtectionParameter entryPassword = new KeyStore.PasswordProtection(keyPassword);
KeyStore.PrivateKeyEntry privateKeyEntry = (KeyStore.PrivateKeyEntry)keyStore.getEntry("alias", entryPassword);

System.out.println(privateKeyEntry.toString());

このキーを使用して文字列に署名する必要がある場合は、次の手順を実行します。

手順1:暗号化するテキストを変換する

byte[] data = "test".getBytes("UTF8");

ステップ2:base64でエンコードされた秘密鍵を取得する

keyStore.load(keyStoreData, keyPassword);

//get cert, pubkey and private key from the store by alias
Certificate cert = keyStore.getCertificate("localhost");
PublicKey publicKey = cert.getPublicKey();
KeyPair keyPair = new KeyPair(publicKey, (PrivateKey) key);

//sign with this alg
Signature sig = Signature.getInstance("SHA1WithRSA");
sig.initSign(keyPair.getPrivate());
sig.update(data);
byte[] signatureBytes = sig.sign();
System.out.println("Signature:" + Base64.getEncoder().encodeToString(signatureBytes));

sig.initVerify(keyPair.getPublic());
sig.update(data);

System.out.println(sig.verify(signatureBytes));

参照:

  1. SSLで使用するためにJavaキーストアに既存のx509証明書と秘密鍵をインポートする方法は?
  2. http://tutorials.jenkov.com/java-cryptography/keystore.html
  3. http://www.java2s.com/Code/Java/Security/RetrievingaKeyPairfromaKeyStore.htm
  4. 秘密鍵で文字列に署名する方法

最終プログラム

public static void main(String[] args) throws Exception {

    byte[] data = "test".getBytes("UTF8");

    // load keystore
    char[] keyPassword = "changeit".toCharArray();

    KeyStore keyStore = KeyStore.getInstance("JKS");
    //System.getProperty("user.dir") + "" < for a file in particular path 
    InputStream keyStoreData = new FileInputStream("keystore.jks");
    keyStore.load(keyStoreData, keyPassword);

    Key key = keyStore.getKey("localhost", keyPassword);

    Certificate cert = keyStore.getCertificate("localhost");

    PublicKey publicKey = cert.getPublicKey();

    KeyPair keyPair = new KeyPair(publicKey, (PrivateKey) key);

    Signature sig = Signature.getInstance("SHA1WithRSA");

    sig.initSign(keyPair.getPrivate());
    sig.update(data);
    byte[] signatureBytes = sig.sign();
    System.out.println("Signature:" + Base64.getEncoder().encodeToString(signatureBytes));

    sig.initVerify(keyPair.getPublic());
    sig.update(data);

    System.out.println(sig.verify(signatureBytes));
}

1

PKCS12キーストアを作成するだけで、Javaはそれを直接使用できます。実際、Javaスタイルのキーストアをリストすると、keytool自体がPKCS12が現在推奨される形式であることを警告します。

openssl pkcs12 -export -in server.crt -inkey server.key \
               -out server.p12 -name [some-alias] \
               -CAfile ca.crt -caname root -chain

証明書プロバイダーから3つのファイル(server.crt、server.key、c​​a.crt)をすべて受け取っているはずです。「-caname root」が実際に何を意味するのかはわかりませんが、そのように指定する必要があるようです。

Javaコードでは、必ず正しいキーストアタイプを指定してください。

KeyStore.getInstance("PKCS12")

このようにして、NanoHTTPDでcomodo.com発行のSSL証明書を正常に機能させました。


弊社のサイトを使用することにより、あなたは弊社のクッキーポリシーおよびプライバシーポリシーを読み、理解したものとみなされます。
Licensed under cc by-sa 3.0 with attribution required.