PKCS12-Java-Keystore von CA und Benutzer-Zertifikat in java

PKCS#12-format ist gedacht für die Speicherung eines privaten Schlüssels mit einem Zertifikat der Kette, und beide sind erforderlich (obwohl Sie vielleicht nicht brauchen die ganze Kette).
Obwohl die PKCS12 keystore-Typ macht einen guten job für die Zuordnung dieses format, um eine Java - KeyStore nicht alles wird unterstützt aus diesem Grund.

Was Sie zu tun versuchen, in Ihrem ersten Versuch ist die Speicherung eines Zertifikats auf Ihrer eigenen, das wird nicht funktionieren.

Was Sie zu tun versuchen, in Ihrem zweiten Versuch (ks.setKeyEntry("SomeAlias", userCert.getPublicKey().getEncoded(), chain)) ist für einen öffentlichen Schlüssel an Stelle von was sollte einen privaten Schlüssel (siehe - KeyStore#setKeyEntry).

.cer Datei neigen dazu, nur für die Zertifikate, die keinen privaten Schlüssel (obwohl natürlich, die Verlängerung ist letztendlich auch nur ein Indiz). Wenn Sie exportieren Sie Ihre .cer Datei aus Schlüsselbund.app, Sie erhalten nicht den privaten Schlüssel mit (das ist, was die .p12 export-format).

BEARBEITEN über KeychainStore:

Wenn der Grund, warum Sie versuchen, diese Umwandlung zu tun ist letztendlich der Zugriff auf private Schlüssel und Zertifikate, die bereits im Schlüsselbund könnten Sie laden Sie von der KeychainStore direkt:

KeyStore ks = KeyStore.getInstance("KeychainStore", "Apple");
ks.load(null, "-".toCharArray());

Ein paar Hinweise:

• Alle nicht-null nicht-leeres Passwort zur Verwendung des privaten Schlüssels (z.B. "-".toCharArray()), da der Zugang wird aufgefordert, die von der OS-security-service (wie in anderen Anwendungen).
• Soweit ich bin mir bewusst, es gibt noch ein bug und es ermöglicht nur den Zugriff auf einen privaten Schlüssel/Zertifikat-paar (auch wenn eine Anzahl von Paaren von privaten Schlüssels/Zertifikats-Paare vorhanden sind in der keychain)

InformationsquelleAutor Bruno

Ich bin ein paar Jahre zu spät, um der Partei, aber das hat mich ein paar Stunden richtig arbeiten,
also dachte ich, es war lohnt sich die Buchung einer funktionierende Lösung.
Diese Lösung verwendet 1) Ein .p12 /PKCS12-Zertifikat
und 2) eine ZERTIFIZIERUNGSSTELLE, die nicht in der Standard-TrustManager (und Sie Sie hinzufügen möchten programmgesteuert statt Sie auf die Standard-TrustManager). 3) Kein Dritter Kryptographie-Bibliotheken, nur HttpClient bringen Sie alle zusammen.

Außerdem habe ich ein paar hilfreiche keytool und openssl Befehle in der JavaDoc für die mit Zertifikaten arbeiten, denn das ist eine Kunst für sich.

//Stitch it all together with HttpClient
CloseableHttpClient httpClient = HttpClients.custom().setSSLSocketFactory(getSSLSocketFactory()).build();


private SSLConnectionSocketFactory getSSLSocketFactory() {
    try {
        SSLContext sslContext = SSLContext.getInstance("TLS");

        KeyManager[] keyManager = getKeyManager("pkcs12", "path/to/cert.p12"), "p12_password"));
        TrustManager[] trustManager = getTrustManager("jks", "path/to/CA.truststore", "trust_store_password"));
        sslContext.init(keyManager, trustManager, new SecureRandom());

        return new SSLConnectionSocketFactory(sslContext);
    } catch (Exception e) {
        throw new RuntimeException("Unable to setup keystore and truststore", e);
    }
}

/**
 * Some useful commands for looking at the client certificate and private key:
 * keytool -keystore certificate.p12 -list -storetype pkcs12 -v
 * openssl pkcs12 -info -in certificate.p12
 */
private KeyManager[] getKeyManager(String keyStoreType, String keyStoreFile, String keyStorePassword) throws Exception {
    KeyStore keyStore = KeyStore.getInstance(keyStoreType);
    KeyManagerFactory kmf = KeyManagerFactory.getInstance(KeyManagerFactory.getDefaultAlgorithm());
    keyStore.load(this.getClass().getClassLoader().getResourceAsStream(keyStoreFile), keyStorePassword.toCharArray());
    kmf.init(keyStore, keyStorePassword.toCharArray());

    return kmf.getKeyManagers();
}

/**
 * Depending on what format (pem /cer /p12) you have received the CA in, you will need to use a combination of openssl and keytool
 * to convert it to JKS format in order to be loaded into the truststore using the method below. 
 *
 * You could of course use keytool to import this into the JREs TrustStore - my situation mandated I create it on the fly.
 *
 * Useful command to look at the CA certificate:
 * keytool -keystore root_ca.truststore -list -storetype jks -v
 *
 */
private TrustManager[] getTrustManager(String trustStoreType, String trustStoreFile, String trustStorePassword) throws Exception {
    KeyStore trustStore = KeyStore.getInstance(trustStoreType);
    TrustManagerFactory tmf = TrustManagerFactory.getInstance(TrustManagerFactory.getDefaultAlgorithm());
    trustStore.load(this.getClass().getClassLoader().getResourceAsStream(trustStoreFile), trustStorePassword.toCharArray());
    tmf.init(trustStore);

    return tmf.getTrustManagers();
}

InformationsquelleAutor markdsievers