向p12（pfx）证书添加证书链

Question

我在java和cxf中有应用程序，它通过客户端证书连接到Web服务。

我有WebService所有者的证书

• 证书。p12
• 证书。pem
• 证书。crt
• 受信任的核证机关
• 根癌

我无法直接将此p12证书转换为java要求的工作jks密钥库。

我是这样做的：

keytool -importkeystore -srckeystore certificate.p12 -srcstoretype PKCS12 -destkeystore certificate1.jks -deststoretype JKS -storepass secret
keytool -import -alias root -file root_ca.cer -trustcacerts -keystore certificate1.jks -storepass secret
keytool -import -alias trusted -file trusted_ca.cer -trustcacerts -keystore certificate1.jks -storepass secret

但是这个jks不工作，我得到HTTP响应403：禁止使用这个certificate1.jks

但是，如果我将此p12（pfx）证书导入Internet Explorer，然后选择“在证书路径中包含所有证书”复选框并使用以下命令将此证书从IE导出为pfx格式：

keytool -importkeystore -srckeystore certificate.pfx -srcstoretype PKCS12 -destkeystore certificate2.jks -deststoretype JKS -storepass secret
keytool -import -alias root -file root_ca_kir.cer -trustcacerts -keystore certificate2.jks -storepass secret
keytool -import -alias trusted -file trusted_ca_kir.cer -trustcacerts -keystore certificate2.jks -storepass secret

然后一切正常，我可以使用certificate2连接到Web服务。jks。

我发现原始证书. p12（pfx）只包含一个条目（证书链长度： 1）：

keytool -list -keystore certificate.p12 -storepass secret -storetype PKCS12 -v


*******************************************
*******************************************

Alias name: alias
Entry type: PrivateKeyEntry
Certificate chain length: 1
Certificate[1]:
Owner: CN=MyCompany, EMAILADDRESS=[e-mail], O=bla, C=PL
Issuer: CN=Trusted CA, O=ble, C=PL
Serial number: xxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxx
Valid from: ... until: ...
Certificate fingerprints:
         MD5:  XX:XX:XX:XX:XX:XX:XX:XX:XX:XX:XX:XX:XX:XX:XX:XX
         SHA1: XX:XX:XX:XX:XX:XX:XX:XX:XX:XX:XX:XX:XX:XX:XX:XX:XX:XX:XX:XX
         Signature algorithm name: SHA1withRSA
         Version: 3

Extensions:

#1: ObjectId: X.X.XX.XX Criticality=false
KeyUsage [
  DigitalSignature
  Key_Encipherment
]

...

*******************************************
*******************************************

虽然从IE导出的certificate.pfx包含认证路径中的所有证书包含具有第二个可信CA证书的证书链（证书链长度： 2）：

keytool -list -keystore certificate.p12 -storepass secret -storetype PKCS12 -v



*******************************************
*******************************************

Alias name: alias
Entry type: PrivateKeyEntry
Certificate chain length: 2
Certificate[1]:
Owner: CN=MyCompany, EMAILADDRESS=[e-mail], O=bla, C=PL
Issuer: CN=Trusted CA, O=ble, C=PL
Serial number: xxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxx
Valid from: ... until: ...
Certificate fingerprints:
         MD5:  XX:XX:XX:XX:XX:XX:XX:XX:XX:XX:XX:XX:XX:XX:XX:XX
         SHA1: XX:XX:XX:XX:XX:XX:XX:XX:XX:XX:XX:XX:XX:XX:XX:XX:XX:XX:XX:XX
         Signature algorithm name: SHA1withRSA
         Version: 3

Extensions:

#1: ObjectId: X.X.XX.XX Criticality=false
KeyUsage [
  DigitalSignature
  Key_Encipherment
]

...

Certificate[2]:
Owner: CN=Trusted CA, O=ble ble ble, C=PL
Issuer: CN=ROOT CA, O=ble ble ble, C=PL
Serial number: xxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxx
Valid from: ... until: ...
Certificate fingerprints:
         MD5:  XX:XX:XX:XX:XX:XX:XX:XX:XX:XX:XX:XX:XX:XX:XX:XX
         SHA1: XX:XX:XX:XX:XX:XX:XX:XX:XX:XX:XX:XX:XX:XX:XX:XX:XX:XX:XX:XX
         Signature algorithm name: SHA1withRSA
         Version: 3

Extensions:


*******************************************
*******************************************

所以，为了解决我的问题，我需要有p12证书和可信CA证书链。我可以通过将p12导入IE，然后使用“在认证路径中包含所有证书”将其导出回来来实现这一点。

我怎么能做到这一点，没有IE使用key工具或其他工具？

巴里

Answer 1

如果您在Windows操作系统中工作，您可以像往常一样通过IIS安装证书，然后打开mmc.exe-

展开证书，如果需要，将CA中的证书添加到“中间证书颁发机构”或“受信任的根证书颁发机构”中。

然后进入“网络托管”，这里必须是你的webSite证书，选择证书，左键点击它，选择导出并按照向导，重要的事情要检查“包含私钥”，包含链上的所有证书，导出所有扩展属性，你必须设置密码，选择输出flie名称，就是这样。现在您有一个证书，上面有完整的链。没有更多的问题与Facebook或类似。

Answer 2

自己的答案。

我想出了如何使用OpenSSL实现这一点：

openssl pkcs12 -in certificate.p12 -out clientcert.pem -nodes -clcerts
openssl x509 -in trusted_ca.cer -inform DER -out trusted_ca.pem
openssl x509 -in root_ca.cer -inform DER -out root_ca.pem
cat clientcert.pem trusted_ca.pem root_ca.pem >> clientcertchain.pem
openssl pkcs12 -export -in clientcertchain.pem -out clientcertchain.pfx