我们是否应该将密钥库和信任库指向同一个 .jks 文件？

Question

我正在使用SSL握手连接到URL。为此，我生成了一个. csr文件并对其进行了签名。签名后，我创建了一个my.jks文件，其中包含3个条目

< li >签名的客户端证书 < li >私钥 < li>CA

我使用jetty作为服务器，我专门将密钥库和信任库设置为相同的jks文件，如下所示

-Djavax.net.ssl.keyStore=/home/keystore/my.jks
-Djavax.net.ssl.keyStorePassword=changeit
-Djavax.net.ssl.trustStore=/home/keystore/my.jks
-Djavax.net.ssl.trustStorePassword=changeit

它工作正常。但是这是正确的方法吗？我认为密钥库应该包含客户端证书和私钥，信任库应该包含CA。但是当我尝试这样做时，我得到了以下错误。

"javax.net.ssl.SSLHandshakeException：sun.security.validator.ValidatorException： PKIX路径构建失败：sun.security.provider.certpath.SunCertPathBuilderException：找不到请求目标的有效证书路径"

请对此提出建议。

Answer 1

对于你问题的第一部分，我认为这个答案已经涵盖了很多。简而言之，是的，你可以指向同一个文件，不，这不是最佳实践。至于你得到的错误，有很多原因可能会发生，但是你可以尝试从JAVA_HOME/jre/lib/security将CA添加到cacerts文件中。这使得它可用于所有JAVA应用程序。

Answer 2

如果您希望自签名证书（仅当您将其用于服务器内通信而不交换任何个人/敏感信息时）：

1)使用-certreq生成CSR

< code > keytool-cert req-alias keyAlias-keystore location PK-store pass your pass-file myowncertrequest . CSR

2）使用上面的csr生成证书：

keytool -gencert -infile myowncertrequest.csr -alias keyAlias -keystore locationPk -storepass yourpass -outfile myownsignedcert.cer

3）将其导入“单独”信任存储

< code > keytool-import-trustcacerts-alias myown-file myownsignedcert . cer-keystore intra _ server _ trust store-store pass good password

这将创建一个自定义信任存储区，该信任存储区将仅在您自己的域中使用，并用于某些基本的身份验证和数据交换。但是，如果要向外界公开服务，请使用适当的CA来签署这些证书。

Answer 3

不可以。信任库只包含公共数据：您信任的CA的公共证书。KeyStore包含私钥及其证书：您的数字身份。它们甚至可能由不同的人控制。不要混淆它们的功能。