jarsigner: Dieses Jar enthält Einträge, deren Zertifikatskette nicht validiert ist

Ich habe das gleiche Problem und wenn es anderen helfen kann, das problem ist, wie jarsigner findet keystore.

Um das Problem zu beheben tun:

jarsigner -verify -keystore xxxx.jks mysignedjar.jar

InformationsquelleAutor der Antwort Alain P

Ich hatte ähnliches problem mit dem "DigiCert SHA2 Versichert ID Code Signing CA". Alle oracle java-Versionen, als auch OpenJDK verhielten sich gleich. Digicert support weitergeleitet die mich zu dieser Seite, aber nichts gesagt hier hatte mir geholfen, mit dem Verifizierungsprozess weder.

Ich versuche zu signieren eines Applets, so dass ich es zu müssen nachprüfbar sein, auch im browser, also der trick mit der Bereitstellung der keystore-Pfad zu jarsigner -verify ist nicht anwendbar.

Haupt-problem scheint ein bug in der keytool beim Betrieb mit Zertifikate mit SHA2 anstelle von SHA1, weil die gleiche Liste von Schritten, angewendet auf SHA1 certs immer funktioniert und noch nie gearbeitet, für SHA2 für mich. Es scheint mir, dass keytool ist nicht in der Lage zu erkennen "verkettbarkeit" von Zertifikaten importiert jks und damit jarsigner nicht einbinden richtige CERT-Kette in der signierten jar, es ist nur das Letzte Zertifikat in der META-INF/myalias.RSA-Datei statt (nachprüfbar durch openssl pkcs7 -in myalias.RSA -print_certs -inform DER-out CERT.crt).

Digicert vorgeschlagen, "...manchmal sehen wir Probleme mit dem Root eigentlich nicht korrekt importiert oder komplett die erste Zeit, die aber mit einem import-Befehl, zeigt auf die Root wieder beheben kann dieser", auch dies nicht hilft in meinem Fall.

Da es keine Möglichkeit gibt, zu sagen, der explizit für keytool, was die certs werden in eine Kette, habe ich beschlossen, eine Kette bilden, die openssl verwenden, und importieren Sie es wie folgt:

cat TrustedRoot.pem DigiCertCA2.pem my.crt  >chain
openssl pkcs12 -nodes -export -in my.crt  -inkey my.key -out tmp.p12 -name myalias -certfile chain
keytool -importkeystore -destkeystore mykeystore.jks -srckeystore tmp.p12 -srcstoretype PKCS12

Nach dieser mykeystore.jks erscheint, enthält nur mein Zertifikat nicht DigiCertCA2 oder die Wurzel, wenn Sie aufgelistet sind die von keytool -list-Befehl, aber mit -v (verbose) es offenbart Kette Tiefe und seine certs:

~/$ keytool  --list --keystore mykeystore.jks  -v|grep -e chain -e Certificate\\[
Enter keystore password:  123456
Certificate chain length: 3
Certificate[1]:
Certificate[2]:
Certificate[3]:

Und das ist, was jarsigned braucht zum signieren der jar-richtig, d.h. zum einbetten richtige CERT-Kette und machen jar überprüfbare auch bei der endgültigen browser-Benutzer.

InformationsquelleAutor der Antwort tomas

Dies ist ein Sicherheits-Mechanismus, der in JDK 7+. Dies druckt die Warnung, wenn die Unterzeichnung der Gläser, ohne einen Zeitstempel, der übergeben werden kann, mit ein -tsa-Flagge. Wenn eine jar hat keinen timestamp, wird es aufhören arbeiten Vergangenheit seine Gültigkeit.

Wenn Sie ein Android-target, diese Warnung wird immer gedruckt, wenn Sie mit einem neueren JDK als 1.7.0_51. Android empfiehlt generell die übergabe 30 Jahre Gültigkeit, so dass dieser Warnung kann zu 100% ignoriert, es sei denn, Ihr business-plan ist, um Benutzern zu erlauben, verwenden Sie die gleichen .apk in 2046.

Hier ist das ticket für die Funktion, der Zweck ist die Förderung Zeitstempel, die ich glaube, wird werden effektiv. http://bugs.java.com/view_bug.do?bug_id=8023338.

InformationsquelleAutor der Antwort mateor

Beim erstellen/exportieren Sie Ihr Zertifikat in eine p12 - (verwendet durch das jarsigner) stellen Sie sicher, dass die folgenden ausgewählt ist (zum Beispiel, wenn Sie den export mit Internet explorer-Assistenten) müssen Sie die folgenden in der export-Assistent.

"Privaten Schlüssel exportieren"
"Alle Zertifikate im Zertifizierungspfad wenn möglich"
"Alle erweiterten Eigenschaften exportieren" kontrolliert unter der option .PFX-oder PKCS #12.

Wenn Sie das erstellen der p12, richtig in den ersten Platz dann jarsign erfordert keinen besonderen Aufwand.

InformationsquelleAutor der Antwort PGP