Tomcat/JKS/Keytool-重新生成私钥？

Answer 1

不，这就是非对称密码学的全部要点：当只知道公钥（包含在CSR和证书中）时，不可能生成私钥。

如果只能从CSR或证书重新生成私钥，则任何人都可以模拟已向其颁发证书的实体。

如果您丢失了私钥，您只需创建一个新的密钥对，提交一个新的CSR并获得一个新的证书。一些CAs允许在初始证书有效期内作为其合同的一部分免费重新密钥。

要申请X.509证书，您必须：

• 生成公钥/私钥对。从本质上讲，公钥可以公开分发，因为它不足以获得私钥（至少不能在合理的时间内获得）。
• 将该公钥连同您的身份信息提交给证书颁发机构。这可以通过以下方法完成：
  • 证书签名请求(CSR，PKCS#10)，其中包含您的公钥和您希望在证书中包含的数据（例如，您想要的主题DN）。尽管这些数据与证书中的数据非常相似，但CA应该主要使用这些数据来识别请求本身，因为CAs应该正确地执行它们的工作，检查它们在证书中的内容，而不仅仅是盲目地将CSR变成证书。CSR本身使用与证书中的公钥匹配的私钥进行签名。它实际上非常类似于自签名的X.509证书（没有颁发者信息和有效日期），但不是一个。
  • 浏览器内证书应用程序的SPKAC或CRMF。

  然后，您必须将此证书与与其公钥相匹配的私钥结合使用。有些工具使用单独的文件来实现这一点，也可以根据密钥存储区中的私钥项导入证书。