keytool - 密钥和证书管理工具（三）

旧城等待， 2022-09-19 13:30 252阅读 0赞

# 5 例子 #

假设你希望创建一个密钥库来管理你的公共/私有密钥对和证书。

## 5.1. 生成密钥对 ##

首先需要创建一个密钥库，并生成密钥对，使用下面的命令行：

keytool -genkeypair -dname "cn=Mark Jones, ou=JavaSoft, o=Sun, c=US"

-alias business -keypass kpi135 -keystore C:\\working\\mykeystore

-storepass ab987c -validity 180

（请注意：以上输入必须在同一行命令行中，此处为了易于阅读，使用多行展示）

这行命令创建密钥库的名称为“mykeystore”存储在“C:\\working”目录下（假设这个文件事先不存在），密钥库的密码为“ab987c”，生成了一个公钥/私钥密钥对条目，条目的公共名称是“Mark Jones

”，组织单元是“JavaSoft”，组织是“Sun”，代表国家的两个字符“US”，使用默认的DSA密钥算法生成密钥，密钥的长度为1024。

这行命令创建了一个自签名的证书（使用默认的“SHA1withDSA”签名算法），这张证书包含了公钥和可辨别名称等信息，证书的有效期是180天，证书和私钥通过别名“business”关联在一起，保护私钥的密码为“kpi135”。

这条命令可以缩短为如下形式，未指定的选项可以使用默认值,系统会提示你输入所需要的值，

keytool -genkeypair

使用这条命令，系统会创建一个别名为“mykey”的密钥库条目，同时生成新的密钥对和证书，证书的有效期为90天，在用户的工作目录下会生成一个密钥库，密钥库的名称为“.keystore”，系统会提示用户输入可辨别名称的信息、密钥库密码和私钥密码。

## 5.2. 从证书认证中心声请签名证书 ##

到目前我们已经得到了一个自签名的证书，如果一个被CA签名的证书，将会被更多人信任。要得到这样一个签名,首先生成证书签名请求(CSR),通过以下命令：

keytool -certreq -file MarkJ.csr

该命令生成一个CSR （该条目使用默认的别名“mykey”）并将该请求存放在MarkJ.csr文件中，提交给请求给CA，比如：VeriSign等，CA通常将离线验证申请者，验证通过之后，申请者将收到一个由CA签名的证书，(在某些情况下，CA会返回一个证书链, each one authenticating the public key of the signer of the previous certificate in the chain.)

## 5.3. 导入CA的证书 ##

你需要使用证书链替换你的自签名证书，在这个证书链中的每一个证书都可以用证书的签名者（证书链中前一个证书）的公钥验证，一直到根CA，三级证书可以使用二级证书的公钥验证，二级证书可以使用根证书公钥验证。

导入来自CA的证书应答之前，你需要一个或者更多“受信任的证书”，在你的密钥库中，或者在“cacerts”密钥库文件中：

1、如果证书应答是一个证书链，你只需要证书链中的顶级证书（这个证书是使用CA的公钥验证根CA证书）。

2、如果证书应答是一个单独的证书，你需要一个发布者的证书（你收到的证书是由这个发布者签名的），如果这个发布者证书不是一个自签名的证书，你需要一个签名者的证书，依此类推，直到一个自签名的CA根证书。

“cacerts”密钥库文件中附带5个VeriSign 根证书，所以你或许不需要导入VeriSign 的证书到你的密钥库中，作为信任的证书。但是如果你从不同的CA声请了一个签名证书，而这个CA的证书没有导入到“cacerts”密钥库中，你需要导入CA的证书，让这个CA的证书成为受信任的证书。

A certificate from a CA is usually either self-signed, or signed by another CA (in which case you also need a certificate authenticating that CA's public key). Suppose company ABC, Inc., is a CA, and you obtain a file named "ABCCA.cer" that is purportedly a self-signed certificate from ABC, authenticating that CA's public key.

在导入一个证书作为信任的证书之前，确保该证书是有效的，先查看一下（使用keytool -printcert命令，或者使用keytool -importcert命令，不带有\-noprompt选项），确认所显示的证书指纹符合预期的。你可以给发送证书的人打电话，确认证书的指纹。只有指纹相等的情况，才保证证书没有在运输途中换成别人的(例如,一个攻击者的)证书。如果发生这种攻击,在你导入证书之前,你不检查证书,你最终将信任攻击者已经签名的任何东西。

如果你信任证书的有效性,你可以将它添加到你的密钥库中，通过以下命令：

keytool -importcert -alias abc -file ABCCA.cer

这行命令会在你的密钥库中创建一个受信任的证书条目，这个条目包含了ABCCA.cer文件的数据，该条目的别名为“abc”。

## 5.4. 导入来自CA的证书应答 ##

一旦你已经导入一个可以使用CA公钥签证签名的CA证书，或者在“cacerts”密钥库有该CA的证书，你就可以导入证书应答，从而取代你的自签名证书，

例如，假设你发送你的证书签名请求到VeriSign，你可以使用下面的命令来导入证书应答，假设返回的证书文件是VSMarkJ.cer：

keytool -importcert -trustcacerts -file VSMarkJ.cer

## 5.5. 导出证书，证书中的公钥用于验证签名 ##

假如你使[jarsigner][] 工具对java归档（JAR）文件进行了签名，客户端使用这个JAR文件之前，需要认证你对这个JAR文件的签名。

验证签名的一种方式是，导入你公钥证书到客户端的密钥库中，将此公钥证书作为受信任的条目。你可以导出你的证书，并向客户端提供这个证书。例如，你可以使用下面的命令，复制你的证书到一个文件中，将其命名为 MJ.cer ，加入证书条目的别名为“mykey”：

keytool -exportcert -alias mykey -file MJ.cer

将这个证书和JAR签名文件发送给客户端，客户端可以使用jarsigner 工具来验证你的签名。

## 5.6. 导入密钥库 ##

命令“importkeystore”常常用于将一个密钥库中的所有条目导入到另外一个密钥库，包括密钥和证书。你可以使用这个命令导入不同类型密钥库中的条目，导入目标密钥库中条目，将使用和原来一样的别名和保护密码（保护密码用于保护安全密钥和私钥），当keytool工具从原密钥库读取私钥和安全密钥需要密码时，系统会提示用户输入密码，如果导入到目标密钥库时，遇到别名冲突，系统提示用户输入新的别名，或者直接覆盖现有条目。

例如，可以使用下面的命令，从普通的JKS 类型密钥库key.jks中导入条目到PKCS \#11类型的密钥库：

keytool -importkeystore

-srckeystore key.jks -destkeystore NONE

-srcstoretype JKS -deststoretype PKCS11

-srcstorepass changeit -deststorepass topsecret

importkeystore 命令也可以导入单个条目从原密钥库到目标密钥库。这种情况，你需要使用srcalias选项指定将要导出的条目的别名，同时需要使用destalias选项指定导入别名，保护密码也一样，需要使用srckeypass和destkeypass选项，例如：

keytool -importkeystore

-srckeystore key.jks -destkeystore NONE

-srcstoretype JKS -deststoretype PKCS11

-srcstorepass changeit -deststorepass topsecret

-srcalias myprivatekey -destalias myoldprivatekey

-srckeypass oldkeypass -destkeypass mynewkeypass

-noprompt

原文[http://docs.oracle.com/javase/6/docs/technotes/tools/windows/keytool.html][http_docs.oracle.com_javase_6_docs_technotes_tools_windows_keytool.html]

[jarsigner]: http://docs.oracle.com/javase/6/docs/technotes/tools/windows/jarsigner.html
[http_docs.oracle.com_javase_6_docs_technotes_tools_windows_keytool.html]: http://docs.oracle.com/javase/6/docs/technotes/tools/windows/keytool.html