如何使用keytool更改PKCS12密钥库密码？

Question

我无法使用keytool（java 8）更改PKCS密钥库密码。当我试图更改密钥密码时：

keytool -keypasswd -keystore keystore.p12 -storetype PKCS12 -storepass oldpass -keypass oldpass -new newpass
keytool error: java.lang.UnsupportedOperationException: -keypasswd commands not supported if -storetype is PKCS12

这意味着无法更改PKCS12密钥库的密钥密码。然后我尝试更改keystore密码：

keytool -storepasswd -keystore keystore.p12 -storetype PKCS12 -storepass oldpass -new newpass
Warning:  Different store and key passwords not supported for PKCS12 KeyStores. Ignoring user-specified -new value.
keytool error: java.io.FileNotFoundException: keystore.p12 (Access is denied)

这意味着，我们必须一起更改密钥库密码和密钥密码。但是没有命令可以改变两者。我能做什么呢？

Answer 1

我知道问题是关于使用keytool，但如果这不是严格的要求，您可以使用openssl：

>

将证书和密钥导出到临时文件。没有密码保护的pem文件。这将以交互方式询问您解密密码：

openssl pkcs12 -in keystore.p12 -out temp.pem -nodes

从temp导出。pem文件转换为新的PKCS#12文件。这将以交互方式要求您输入新的加密密码：

openssl pkcs12 -export -in temp.pem -out keystore-new.p12

删除临时文件：

rm temp.pem

⚠️ 在没有其他人有阅读权限的文件夹中执行此操作非常重要，因为只要temp。pem文件存在，可以读取其中的密钥。

Answer 2

您可以将PKCS12文件导入另一个PKCS12，在那里您可以为新的PKCS12文件提供新密码。然后，您可以使用新的PKCS12文件或删除以前的文件，并用旧文件名重命名新文件名。这不是一条直截了当的道路，但它实现了目标。下面给出了一个示例代码

keytool -importkeystore -srckeystore DocCA.p12 -srcstoretype PKCS12 -srcstorepass 123456 -destkeystore DocCA2.p12 -deststoretype PKCS12 -deststorepass 11223344 

在这里，DocCA. p12是密码为123456的现有PKCS12，它被导出到密码为11223344的DocCA2. p12文件中。