私钥和公钥分开

Question

我想在Java中通过SSL/TLS建立一个客户机服务器通信。服务器是多线程的。使用openssl，我充当自己的CA（为权威创建私钥和自签名证书）。现在我要为我的服务器和客户端创建密钥和证书，这些密钥和证书是从我创建的CA签名的。

1）我必须根据提示为每个客户创建证书和密钥吗？还是另一种“自动”方式，例如使用脚本？

2）我已经看到用于设置密钥库的代码

 private void setupClientKeyStore() throws GeneralSecurityException, IOException 
    {
    clientKeyStore = KeyStore.getInstance( "JKS" );
    clientKeyStore.load( new FileInputStream( "client1publickey.jks" ),
                       "password".toCharArray() );
    }

    private void setupServerKeystore() throws GeneralSecurityException, IOException
    {
    InputStream keyStoreResource = new FileInputStream("serverprivatekey.jks");
    char[] keyStorePassphrase = "password".toCharArray();
    serverKeyStore = KeyStore.getInstance("JKS");
    serverKeyStore.load(keyStoreResource, keyStorePassphrase);
}

private void setupServerKeystore() throws GeneralSecurityException, IOException {
    serverKeyStore = KeyStore.getInstance( "JKS" );
    serverKeyStore.load( new FileInputStream("serverpublickwy.jks"), 
                        "university".toCharArray() );
  } 
   private void setupClientKeyStore() throws GeneralSecurityException, IOException {
    clientKeyStore = KeyStore.getInstance( "JKS" );
    clientKeyStore.load( new FileInputStream( "client1privatekey.jks" ),
                       "university".toCharArray() );} 

问题是我如何单独创建这些jks文件？publickey.jks文件是cert的，对吗？我如何才能从私钥在另一个文件中拥有它，并从CA签名？或者这是我可以在客户机/服务器之间建立连接的另一种方式？首先，我用openssl创建了CA，然后服务器端和客户端的两个jks文件包括证书和密钥。

Answer 1

你在这里设置的东西看起来相当原始和脆弱。JKS存储实际上是一个真正的痛苦工作，但它们是一些Java库将接受的全部，所以如果你被卡住，你就被卡住了。

http://www.javacodeGeeks.com/2014/07/java-keystore-tutorial.html

是关于keytool基础知识的一个相当不错的教程，keytool是操作密钥存储的标准方法。JKS文件可以有密钥对&CSR，也可以有密钥对&signed cert或任意数量的证书w。没有与它们相关的密钥对。

说到这里，我相信这段代码：

http://docs.oracle.com/javase/7/docs/api/java/security/keystore.html

提供了如何在Java中设置JKS的示例。

Java密钥存储的基本前提是，描述和签名密钥对的公钥的证书与密钥对同处。任何实体（服务器或客户机）都需要一个JKS文件，该文件保存与其身份相关的所有信息，包括密钥对和证书。

在这种特殊的情况下，试图将它们分开长期保存对我来说没有多大意义。

但是，如果您所问的是“我如何获得在CA上签名所需的东西，使其与我的私钥分离，从而使我不必随身携带私钥？”-这是个很好的问题。答案是CSR（证书签名请求），它是一个自签名的信息块，仅包括公钥和您希望CA在签名证书时使用的一堆信息。在关键工具中做的方法是：

keytool -certreq -alias mydomain -keystore keystore.jks -storepass password -file mydomain.csr

keytool -import -trustcacerts -alias mydomain -file mydomain.crt -keystore keystore.jks -storepass password