如何生成Java PKCS12存储连接到常规SSL网站？

Question

是否可以在没有私钥的情况下创建PKCS12密钥存储库，类似于浏览器中的标准RootCA？

谢谢，蓝美洲狮

Answer 1

是的-是的。

虽然PFX-now-PKCS12的设计主要是为了存储或传输私钥和证书，并将证书链作为一个集群，并且最常用的是用于此目的，但它能够存储与任何私钥不匹配的一个或多个“单独的”证书。您是正确的，希望连接到您的客户机应该在其信任库中拥有服务器证书链的根证书，或者服务器证书本身，但绝对不是私钥。

OpenSSL实际上可以创建这样一个PKCS12:

 openssl pkcs12 -export -in certfile.pem [-name $name] -nokeys -out blah.p12 
 # if you don't specify -name it defaults to 1 (the digit one) which can be mildly confusing
 # instead of being prompted for the password you can use -passout with several forms
 # described on the openssl man page, but consider the warning below

jre8/bin/keytool -importcert -keystore blah.p12 -storetype pkcs12 -file $certfile [-alias $name]

jre9+/bin/keytool -importcert -keystore blah.p12 -file $certfile [-alias $name]