如何使用自签名证书创建密钥库和信任库？

Question

我只使用自签名证书进行测试。

问题：

Q1.我想知道为什么我需要在步骤6中将服务器和客户端自己的证书添加到各自的信任库中。

2.创建x509证书

openssl req-x509-new-nodes-key diagserverca.key-sha256-days 1024-out diagserverca.pem

3.从私钥和公共证书创建PKCS12密钥存储库。

keytool-importkeystore-destkeystore server.keystore-srckeystore serverkeystore.p12-srcstoreType pkcs12-别名server-cert

5.将客户端的证书导入服务器的信任存储。

keytool-导入-别名客户端-证书-文件diagclientca.pem-密钥存储服务器.信任存储

keytool-导入-别名服务器-证书-文件diagserverca.pem-keystore server.truststore

1.生成私钥

openssl genrsa-Out DiagClientCa.key 2048

3.从私钥和公共证书创建PKCS12密钥存储库。

openssl pkcs12-export-name client-cert-in diagclientca.pem-inkey diagclientca.key-out clientkeystore.p12

4.将PKCS12密钥存储转换为JKS密钥存储

5.将服务器的证书导入到客户端的信任存储。

keytool-导入-别名服务器-证书-文件diagserverca.pem-keystore client.truststore

6.将客户端的证书导入到客户端的信任存储。

Answer 1

Q1.我想知道为什么我需要在步骤6中将服务器和客户端自己的证书添加到各自的信任库中。

你不知道。将服务器和客户端证书添加到彼此的信任库中。服务器和客户机不需要信任他们自己的证书，但他们需要信任对方的证书。

Q2.我可以减少数字步骤来实现同样的事情吗？如果是，那又是怎样做的呢？

• 在第一部分中，第5步和第6步都是错误的。应该有一个步骤：将服务器的证书导出到客户端的信任库。
• 同样，在第二部分中，步骤5和6也是错误的，并且应该只有步骤：将客户端的证书导出到服务器的密钥库。
• 换句话说，两个步骤5应该互换，而两个步骤6应该删除。

您将在JDK文档中的JSSE参考指南中找到正确的操作说明。每步大约三步。但它真正表明的是，自签名证书真的不值得他们打印在纸上。获取CA签名的证书。更有价值，更容易部署（没有导出步骤）。

你从哪弄来的这些垃圾？