使用openssl创建. p12信任库

Question

我正在编写一个Java 8应用程序，希望使用自签名证书建立一个简单的密钥库和信任库。

通常情况如下：

1. 使用openssl创建密钥对证书。
2. 使用keytools
创建. jks密钥库. jks信任库

现在我只想使用openssl并创建。p12密钥库而不是。jks密钥库。

创建一个。p12密钥库使用以下命令非常有效：

# Create private key and certificate
openssl req -x509 -newkey rsa:"${rsa}" -sha256 \
    -keyout "${key}" \
    -out "${cert}" \
    -days "${days}"

# Create .p12 keystore
openssl pkcs12 -export -in "${cert}" -inkey "${key}" -out "${keystore}"

这个密钥库似乎工作正常，因为在我的Java应用程序中提供相应的. jks信任库将使TLS连接正常运行。但是我无法让. p12信任库工作。

我尝试按照这里的建议创建信任库：

# Create .p12 truststore
openssl pkcs12 -export -nokeys -in "${cert}" -out "${truststore}"

然后像这样加载：

FileInputStream fis = new FileInputStream(new File(trustorePath));
KeyStore trustStore = KeyStore.getInstance("PKCS12");
trustStore.load(fis, truststorePassword.toCharArray());
fis.close();

但我在java代码中收到以下异常：

意外错误：java.security.无效算法参数异常：信任锚参数必须为非空

知道我做错了什么吗？

（非常感谢使用.p12 truststore和Java 8编写一个工作代码段。）

Answer 1

我还没有找到用openssl做这件事的方法，尽管我已经找到了用keytools（OpenJDK套件的一部分）做这件事的方法。

我需要创建一个包含CA证书的密钥库，其2.16.840.1.113894.746875.1.1：

此命令使用具有2.16.840.1.113894.746875.1.1的CA证书（假设您已经拥有CA）创建PKCS12：

keytool -storepass '***' -import -alias ca -file ***/ca.crt.pem -keystore ***/ca.p12 -deststoretype PKCS12

此命令将附加的PEM编码证书及其私钥转换为PKCS12：

openssl pkcs12 -in ***/additional.cert.pem -inkey ***/additional.key.pem -name additional -export -out ***/additional.p12

此命令将包含CA证书的PKCS12密钥库合并到包含附加密钥及其私钥的PKCS12密钥库：

keytool -importkeystore -srckeystore ***/ca.p12 -srcstoretype pkcs12 -srcstorepass '***' -destkeystore ***/additional.p12 -deststoretype pkcs12 -deststorepass '***'

Answer 2

这种行为的一种可能解释是：

直到Java7的标准PKCS#12提供程序根本不允许可信证书条目。JSSE参考指南是这样说的：

不支持在PKCS12密钥库中存储受信任的证书。PKCS12主要用于交付带有关联证书链的私钥。它没有任何“受信任”证书的概念。在互操作性方面，其他PKCS12供应商也有相同的限制。Mozilla和Internet Explorer等浏览器不接受仅包含受信任证书的PKCS12文件。

这在Java 8中有所改变，它支持PKCS#12中的受信任证书——如果它们被标记为特殊属性（OID 2.16.840.1.113894.746875.1.1）：

openssl pkcs12 -in microsoft.p12 -info
MAC Iteration 1024
MAC verified OK
PKCS7 Encrypted data: pbeWithSHA1And40BitRC2-CBC, Iteration 1024
Certificate bag
Bag Attributes
    friendlyName: microsoft it ssl sha2 (baltimore cybertrust root)
    2.16.840.1.113894.746875.1.1: <Unsupported tag 6>

资料来源：

• https://github.com/kaikramer/keystore-explorer/issues/35
• https://github.com/kaikramer/keystore-explorer/issues/11