Ответ 1

Верьте или нет, keytool не предоставляет таких базовых функций, как импорт частного ключа в хранилище ключей. Вы можете попробовать этот обходной путь с слиянием файла PKSC12 с закрытым ключом в хранилище ключей.

Или просто используйте более дружественный KeyMan от IBM для обработки хранилища ключей вместо keytool.exe.

Ответ 2

Я использовал следующие два шага, которые я нашел в комментариях/сообщениях, связанных в других ответах:

Шаг первый: преобразовать сертификат и ключ x.509 в файл pkcs12

openssl pkcs12 -export -in server.crt -inkey server.key \
               -out server.p12 -name [some-alias] \
               -CAfile ca.crt -caname root

Примечание. Убедитесь, что вы поместили пароль в файл pkcs12 - в противном случае вы получите исключение нулевого указателя при попытке его импорта. (В случае, если у кого-то еще была эта головная боль). (Спасибо, Джокул!)

Примечание 2: Вы можете добавить -chain чтобы сохранить полную цепочку сертификатов. (Спасибо Мафуба)

Шаг второй: преобразовать файл pkcs12 в хранилище ключей Java

keytool -importkeystore \
        -deststorepass [changeit] -destkeypass [changeit] -destkeystore server.keystore \
        -srckeystore server.p12 -srcstoretype PKCS12 -srcstorepass some-password \
        -alias [some-alias]

Законченный

ДОПОЛНИТЕЛЬНО Шаг ноль: Создать самозаверяющий сертификат

openssl genrsa -out server.key 2048
openssl req -new -out server.csr -key server.key
openssl x509 -req -days 365 -in server.csr -signkey server.key -out server.crt

Ура!

Ответ 3

Keytool в Java 6 имеет такую возможность: импорт личных ключей в хранилище ключей Java с помощью keytool

Вот основные детали из этого поста.

1. Преобразуйте существующий сертификат в PKCS12, используя OpenSSL. Пароль требуется по запросу, или 2-й шаг будет жаловаться.

   openssl pkcs12 -export -in [my_certificate.crt] -inkey [my_key.key] -out [keystore.p12] -name [new_alias] -CAfile [my_ca_bundle.crt] -caname root
   

2. Преобразуйте PKCS12 в файл хранилища ключей Java.

   keytool -importkeystore -deststorepass [new_keystore_pass] -destkeypass [new_key_pass] -destkeystore [keystore.jks] -srckeystore [keystore.p12] -srcstoretype PKCS12 -srcstorepass [pass_used_in_p12_keystore] -alias [alias_used_in_p12_keystore]
   

Ответ 4

И еще одно:

#!/bin/bash

# We have:
#
# 1) $KEY : Secret key in PEM format ("-----BEGIN RSA PRIVATE KEY-----") 
# 2) $LEAFCERT : Certificate for secret key obtained from some
#    certification outfit, also in PEM format ("-----BEGIN CERTIFICATE-----")   
# 3) $CHAINCERT : Intermediate certificate linking $LEAFCERT to a trusted
#    Self-Signed Root CA Certificate 
#
# We want to create a fresh Java "keystore" $TARGET_KEYSTORE with the
# password $TARGET_STOREPW, to be used by Tomcat for HTTPS Connector.
#
# The keystore must contain: $KEY, $LEAFCERT, $CHAINCERT
# The Self-Signed Root CA Certificate is obtained by Tomcat from the
# JDK truststore in /etc/pki/java/cacerts

# The non-APR HTTPS connector (APR uses OpenSSL-like configuration, much
# easier than this) in server.xml looks like this 
# (See: https://tomcat.apache.org/tomcat-6.0-doc/ssl-howto.html):
#
#  <Connector port="8443" protocol="org.apache.coyote.http11.Http11Protocol"
#                SSLEnabled="true"
#                maxThreads="150" scheme="https" secure="true"
#                clientAuth="false" sslProtocol="TLS"
#                keystoreFile="/etc/tomcat6/etl-web.keystore.jks"
#                keystorePass="changeit" />
#

# Let roll:    

TARGET_KEYSTORE=/etc/tomcat6/foo-server.keystore.jks
TARGET_STOREPW=changeit

TLS=/etc/pki/tls

KEY=$TLS/private/httpd/foo-server.example.com.key
LEAFCERT=$TLS/certs/httpd/foo-server.example.com.pem
CHAINCERT=$TLS/certs/httpd/chain.cert.pem

# ----
# Create PKCS#12 file to import using keytool later
# ----

# From https://www.sslshopper.com/ssl-converter.html:
# The PKCS#12 or PFX format is a binary format for storing the server certificate,
# any intermediate certificates, and the private key in one encryptable file. PFX
# files usually have extensions such as .pfx and .p12. PFX files are typically used 
# on Windows machines to import and export certificates and private keys.

TMPPW=$$ # Some random password

PKCS12FILE=`mktemp`

if [[ $? != 0 ]]; then
  echo "Creation of temporary PKCS12 file failed -- exiting" >&2; exit 1
fi

TRANSITFILE=`mktemp`

if [[ $? != 0 ]]; then
  echo "Creation of temporary transit file failed -- exiting" >&2; exit 1
fi

cat "$KEY" "$LEAFCERT" > "$TRANSITFILE"

openssl pkcs12 -export -passout "pass:$TMPPW" -in "$TRANSITFILE" -name etl-web > "$PKCS12FILE"

/bin/rm "$TRANSITFILE"

# Print out result for fun! Bug in doc (I think): "-pass " arg does not work, need "-passin"

openssl pkcs12 -passin "pass:$TMPPW" -passout "pass:$TMPPW" -in "$PKCS12FILE" -info

# ----
# Import contents of PKCS12FILE into a Java keystore. WTF, Sun, what were you thinking?
# ----

if [[ -f "$TARGET_KEYSTORE" ]]; then
  /bin/rm "$TARGET_KEYSTORE"
fi

keytool -importkeystore \
   -deststorepass  "$TARGET_STOREPW" \
   -destkeypass    "$TARGET_STOREPW" \
   -destkeystore   "$TARGET_KEYSTORE" \
   -srckeystore    "$PKCS12FILE" \
   -srcstoretype  PKCS12 \
   -srcstorepass  "$TMPPW" \
   -alias foo-the-server

/bin/rm "$PKCS12FILE"

# ----
# Import the chain certificate. This works empirically, it is not at all clear from the doc whether this is correct
# ----

echo "Importing chain"

TT=-trustcacerts

keytool -import $TT -storepass "$TARGET_STOREPW" -file "$CHAINCERT" -keystore "$TARGET_KEYSTORE" -alias chain

# ----
# Print contents
# ----

echo "Listing result"

keytool -list -storepass "$TARGET_STOREPW" -keystore "$TARGET_KEYSTORE"

Ответ 5

Да, это действительно печальный факт, что keytool не имеет функций для импорта закрытого ключа.

Для записи в конце я пошел с описанным решением здесь

Ответ 6

Сначала преобразуйте в p12:

openssl pkcs12 -export -in [filename-certificate] -inkey [filename-key] -name [host] -out [filename-new-PKCS-12.p12]

Создайте новый JKS из p12:

keytool -importkeystore -deststorepass [password] -destkeystore [filename-new-keystore.jks] -srckeystore [filename-new-PKCS-12.p12] -srcstoretype PKCS12

Ответ 7

В моем случае у меня был файл pem, который содержал два сертификата и зашифрованный закрытый ключ для совместной проверки подлинности SSL. Итак, файл pem выглядел следующим образом:

-----BEGIN CERTIFICATE-----
...
-----END CERTIFICATE-----
-----BEGIN RSA PRIVATE KEY-----
Proc-Type: 4,ENCRYPTED
DEK-Info: DES-EDE3-CBC,C8BF220FC76AA5F9
...
-----END RSA PRIVATE KEY-----
-----BEGIN CERTIFICATE-----
...
-----END CERTIFICATE-----

Вот что я сделал:

Разделите файл на три отдельных файла, так что каждый из них содержит только одну запись, начиная с "--- BEGIN.." и заканчивая строками "--- END..". Допустим, у нас теперь есть три файла: cert1.pem cert2.pem и pkey.pem

Преобразуйте pkey.pem в формат DER с помощью openssl и следующего синтаксиса:

openssl pkcs8 -topk8 -nocrypt -in pkey.pem -inform PEM -out pkey.der -outform DER

Обратите внимание, что если секретный ключ зашифрован, вам необходимо предоставить пароль (получить его у поставщика оригинального файла pem) для преобразования в формат DER, openssl попросит вас ввести пароль следующим образом: "введите pass phraze для pkey.pem:" Если преобразование выполнено успешно, вы получите новый файл под названием "pkey.der"

Создайте новое хранилище ключей Java и импортируйте закрытый ключ и сертификаты:

String keypass = "password";  // this is a new password, you need to come up with to protect your java key store file
String defaultalias = "importkey";
KeyStore ks = KeyStore.getInstance("JKS", "SUN");

// this section does not make much sense to me, 
// but I will leave it intact as this is how it was in the original example I found on internet:   
ks.load( null, keypass.toCharArray());
ks.store( new FileOutputStream ( "mykeystore"  ), keypass.toCharArray());
ks.load( new FileInputStream ( "mykeystore" ),    keypass.toCharArray());
// end of section..


// read the key file from disk and create a PrivateKey

FileInputStream fis = new FileInputStream("pkey.der");
DataInputStream dis = new DataInputStream(fis);
byte[] bytes = new byte[dis.available()];
dis.readFully(bytes);
ByteArrayInputStream bais = new ByteArrayInputStream(bytes);

byte[] key = new byte[bais.available()];
KeyFactory kf = KeyFactory.getInstance("RSA");
bais.read(key, 0, bais.available());
bais.close();

PKCS8EncodedKeySpec keysp = new PKCS8EncodedKeySpec ( key );
PrivateKey ff = kf.generatePrivate (keysp);


// read the certificates from the files and load them into the key store:

Collection  col_crt1 = CertificateFactory.getInstance("X509").generateCertificates(new FileInputStream("cert1.pem"));
Collection  col_crt2 = CertificateFactory.getInstance("X509").generateCertificates(new FileInputStream("cert2.pem"));

Certificate crt1 = (Certificate) col_crt1.iterator().next();
Certificate crt2 = (Certificate) col_crt2.iterator().next();
Certificate[] chain = new Certificate[] { crt1, crt2 };

String alias1 = ((X509Certificate) crt1).getSubjectX500Principal().getName();
String alias2 = ((X509Certificate) crt2).getSubjectX500Principal().getName();

ks.setCertificateEntry(alias1, crt1);
ks.setCertificateEntry(alias2, crt2);

// store the private key
ks.setKeyEntry(defaultalias, ff, keypass.toCharArray(), chain );

// save the key store to a file         
ks.store(new FileOutputStream ( "mykeystore" ),keypass.toCharArray());

(необязательно) Проверьте содержимое нового хранилища ключей:

keytool -list -keystore mykeystore -storepass password

Тип ключа: JKS Поставщик Keystore: SUN

Ваше хранилище ключей содержит 3 записи

cn =..., ou =..., o =.., Sep 2, 2014, trustedCertEntry, Certificate отпечаток пальца (SHA1): 2C: B8:...

importkey, 2 сентября 2014, PrivateKeyEntry, отпечаток сертификата (SHA1): 9C: B0:...

cn =..., o =...., 2 сентября 2014, trustedCertEntry, отпечаток сертификата (SHA1): 83:63:...

(необязательно) Проверьте свои сертификаты и закрытый ключ из нового хранилища ключей против вашего SSL-сервера: (Возможно, вы захотите включить отладку в качестве опции VM: -Djavax.net.debug = all)

        char[] passw = "password".toCharArray();
        KeyStore ks = KeyStore.getInstance("JKS", "SUN");
        ks.load(new FileInputStream ( "mykeystore" ), passw );

        KeyManagerFactory kmf = KeyManagerFactory.getInstance("SunX509");
        kmf.init(ks, passw);

        TrustManagerFactory tmf = TrustManagerFactory.getInstance(TrustManagerFactory.getDefaultAlgorithm());
        tmf.init(ks);
        TrustManager[] tm = tmf.getTrustManagers();

        SSLContext sclx = SSLContext.getInstance("TLS");
        sclx.init( kmf.getKeyManagers(), tm, null);

        SSLSocketFactory factory = sclx.getSocketFactory();
        SSLSocket socket = (SSLSocket) factory.createSocket( "192.168.1.111", 443 );
        socket.startHandshake();

        //if no exceptions are thrown in the startHandshake method, then everything is fine..

Наконец, зарегистрируйте свои сертификаты с помощью HttpsURLConnection, если вы планируете его использовать:

        char[] passw = "password".toCharArray();
        KeyStore ks = KeyStore.getInstance("JKS", "SUN");
        ks.load(new FileInputStream ( "mykeystore" ), passw );

        KeyManagerFactory kmf = KeyManagerFactory.getInstance("SunX509");
        kmf.init(ks, passw);

        TrustManagerFactory tmf = TrustManagerFactory.getInstance(TrustManagerFactory.getDefaultAlgorithm());
        tmf.init(ks);
        TrustManager[] tm = tmf.getTrustManagers();

        SSLContext sclx = SSLContext.getInstance("TLS");
        sclx.init( kmf.getKeyManagers(), tm, null);

        HostnameVerifier hv = new HostnameVerifier()
        {
            public boolean verify(String urlHostName, SSLSession session)
            {
                if (!urlHostName.equalsIgnoreCase(session.getPeerHost()))
                {
                    System.out.println("Warning: URL host '" + urlHostName + "' is different to SSLSession host '" + session.getPeerHost() + "'.");
                }
                return true;
            }
        };

        HttpsURLConnection.setDefaultSSLSocketFactory( sclx.getSocketFactory() );
        HttpsURLConnection.setDefaultHostnameVerifier(hv);

Ответ 8

Основываясь на ответах выше, здесь показано, как создать новое хранилище ключей для вашего веб-сервера на основе Java из независимо созданного сертификата Comodo и закрытого ключа с помощью keytool (требуется JDK 1. 6+)

1. Выполните эту команду и в командной строке введите somepass - "server.crt" - это сертификат вашего сервера, а "server.key" - это закрытый ключ, который вы использовали для выдачи CSR: openssl pkcs12 -export -in server.crt -inkey server.key -out server.p12 -name www.yourdomain.com -CAfile AddTrustExternalCARoot.crt -caname "AddTrust External CA Root"

2. Затем используйте keytool для преобразования хранилища ключей p12 в хранилище ключей jks: keytool -importkeystore -deststorepass somepass -destkeypass somepass -destkeystore keystore.jks -srckeystore server.p12 -srcstoretype PKCS12 -srcstorepass somepass

Затем импортируйте два других корневых/промежуточных сертификата, которые вы получили от Comodo:

3. Импорт COMODORSAAddTrustCA.crt: keytool keytool -import -trustcacerts -alias cert1 -file COMODORSAAddTrustCA.crt -keystore keystore.jks

4. Импорт COMODORSADomainValidationSecureServerCA.crt: keytool keytool -import -trustcacerts -alias cert2 -file COMODORSADomainValidationSecureServerCA.crt -keystore keystore.jks

Ответ 9

Вы можете использовать эти шаги для импорта ключа в существующее хранилище ключей. Инструкции объединены из ответов в этой теме и на других сайтах. Эти инструкции помогли мне (хранилище ключей Java):

1. Бежать

openssl pkcs12 -export -in yourserver.crt -inkey yourkey.key -out server.p12 -name somename -certfile yourca.crt -caname root

(При необходимости установите опцию -chain. Укладка, которая не удалась для меня). При этом будет запрошен пароль - вы должны указать правильный пароль, иначе вы получите ошибку (ошибка заголовка или ошибки заполнения и т.д.).

2. Он попросит вас ввести новый пароль - вы должны ввести пароль здесь - введите что угодно, но помните его. (Допустим, вы входите в Арагорн).
3. Это создаст файл server.p12 в формате pkcs.
4. Теперь, чтобы импортировать его в файл *.jks запустите:
   keytool -importkeystore -srckeystore server.p12 -srcstoretype PKCS12 -destkeystore yourexistingjavakeystore.jks -deststoretype JKS -deststorepass existingjavastorepassword -destkeypass existingjavastorepassword
   (Очень важно - не пропускайте параметры deststorepass и destkeypass.)
5. Он спросит у вас пароль хранилища ключей src. Введите Арагорн и нажмите Enter. Сертификат и ключ теперь импортированы в существующее хранилище ключей Java.

Ответ 10

Предыдущие ответы правильно указывают, что вы можете сделать это только со стандартными инструментами JDK, сначала конвертируя файл JKS в формат PKCS # 12. Если вам интересно, я собрал компактную утилиту для импорта ключей, основанных на OpenSSL, в хранилище ключей в формате JKS без необходимости сначала преобразовывать хранилище ключей в PKCS # 12: http://commandlinefanatic.com/cgi-bin/showarticle.cgi?article=art049

Вы использовали бы связанную утилиту следующим образом:

$ openssl req -x509 -newkey rsa:2048 -keyout localhost.key -out localhost.csr -subj "/CN=localhost"

(подпишите CSR, вернитесь localhost.cer)

$ openssl rsa -in localhost.key -out localhost.rsa
Enter pass phrase for localhost.key:
writing RSA key
$ java -classpath . KeyImport -keyFile localhost.rsa -alias localhost -certificateFile localhost.cer -keystore localhost.jks -keystorePassword changeit -keystoreType JKS -keyPassword changeit

Ответ 11

Если у вас есть файл PEM (например, server.pem), содержащий:

• доверенный сертификат
• закрытый ключ

затем вы можете импортировать сертификат и ключ в хранилище ключей JKS следующим образом:

1) Скопируйте закрытый ключ из файла PEM в файл ascii (например, server.key)

2) Скопируйте сертификат из файла PEM в файл ascii (например, server.crt)

3) Экспортируйте сертификат и ключ в файл PKCS12:

$ openssl pkcs12 -export -in server.crt -inkey server.key \
                 -out server.p12 -name [some-alias] -CAfile server.pem -caname root

• файл PEM можно использовать в качестве аргумента опции -CAfile.
• Вас попросят ввести пароль для экспорта.
• если вы делаете это в git bash, то добавьте winpty в начало команды, чтобы можно было ввести пароль для экспорта.

4) Преобразуйте файл PKCS12 в хранилище ключей JKS:

$ keytool -importkeystore -deststorepass changeit -destkeypass changeit \
          -destkeystore keystore.jks  -srckeystore server.p12 -srcstoretype PKCS12 \
          -srcstorepass changeit

• пароль srcstorepass должен совпадать с паролем экспорта из шага 3)

Ответ 12

То, чего я пытался добиться, - это использовать уже предоставленный закрытый ключ и сертификат для подписи сообщения, которое отправлялось куда-то, что требовалось для того, чтобы убедиться, что сообщение исходит от меня (закрытые ключи подписываются, а открытые ключи шифруются).

Итак, если у вас уже есть файл .key и файл .crt?

Попробуй это:

Шаг 1: преобразовать ключ и сертификат в файл .p12

openssl pkcs12 -export -in certificate.crt -inkey privateKey.key -name alias -out yourconvertedfile.p12

Шаг 2: Импортируйте ключ и создайте файл .jsk с помощью одной команды

keytool -importkeystore -deststorepass changeit -destkeystore keystore.jks -srckeystore umeme.p12 -srcstoretype PKCS12

Шаг 3: В вашей Java:

char[] keyPassword = "changeit".toCharArray();

KeyStore keyStore = KeyStore.getInstance("JKS");
InputStream keyStoreData = new FileInputStream("keystore.jks");

keyStore.load(keyStoreData, keyPassword);
KeyStore.ProtectionParameter entryPassword = new KeyStore.PasswordProtection(keyPassword);
KeyStore.PrivateKeyEntry privateKeyEntry = (KeyStore.PrivateKeyEntry)keyStore.getEntry("alias", entryPassword);

System.out.println(privateKeyEntry.toString());

Если вам нужно подписать некоторую строку с помощью этого ключа, сделайте следующее:

Шаг 1. Преобразование текста, который вы хотите зашифровать

byte[] data = "test".getBytes("UTF8");

Шаг 2: Получить закрытый ключ в кодировке base64

keyStore.load(keyStoreData, keyPassword);

//get cert, pubkey and private key from the store by alias
Certificate cert = keyStore.getCertificate("localhost");
PublicKey publicKey = cert.getPublicKey();
KeyPair keyPair = new KeyPair(publicKey, (PrivateKey) key);

//sign with this alg
Signature sig = Signature.getInstance("SHA1WithRSA");
sig.initSign(keyPair.getPrivate());
sig.update(data);
byte[] signatureBytes = sig.sign();
System.out.println("Signature:" + Base64.getEncoder().encodeToString(signatureBytes));

sig.initVerify(keyPair.getPublic());
sig.update(data);

System.out.println(sig.verify(signatureBytes));

Рекомендации:

1. Как импортировать существующий сертификат x509 и закрытый ключ в хранилище ключей Java для использования в SSL?
2. http://tutorials.jenkov.com/java-cryptography/keystore.html
3. http://www.java2s.com/Code/Java/Security/RetrievingaKeyPairfromaKeyStore.htm
4. Как подписать строку закрытым ключом

Финальная программа

public static void main(String[] args) throws Exception {

    byte[] data = "test".getBytes("UTF8");

    // load keystore
    char[] keyPassword = "changeit".toCharArray();

    KeyStore keyStore = KeyStore.getInstance("JKS");
    //System.getProperty("user.dir") + "" < for a file in particular path 
    InputStream keyStoreData = new FileInputStream("keystore.jks");
    keyStore.load(keyStoreData, keyPassword);

    Key key = keyStore.getKey("localhost", keyPassword);

    Certificate cert = keyStore.getCertificate("localhost");

    PublicKey publicKey = cert.getPublicKey();

    KeyPair keyPair = new KeyPair(publicKey, (PrivateKey) key);

    Signature sig = Signature.getInstance("SHA1WithRSA");

    sig.initSign(keyPair.getPrivate());
    sig.update(data);
    byte[] signatureBytes = sig.sign();
    System.out.println("Signature:" + Base64.getEncoder().encodeToString(signatureBytes));

    sig.initVerify(keyPair.getPublic());
    sig.update(data);

    System.out.println(sig.verify(signatureBytes));
}

Ответ 13

Просто создайте хранилище ключей PKCS12, Java может использовать его прямо сейчас. Фактически, если вы перечислите хранилище ключей в стиле Java, само средство keytool предупредит вас о том, что PKCS12 теперь является предпочтительным форматом.

openssl pkcs12 -export -in server.crt -inkey server.key \
               -out server.p12 -name [some-alias] \
               -CAfile ca.crt -caname root -chain

Вы должны были получить все три файла (server.crt, server.key, ca.crt) от вашего поставщика сертификатов. Я не уверен, что на самом деле означает "-caname root", но, похоже, его нужно указывать именно так.

В коде Java обязательно укажите правильный тип хранилища ключей.

KeyStore.getInstance("PKCS12")

Таким образом, мой сертификат SSL, выданный comodo.com, работает нормально в NanoHTTPD.

Ответ 14

в случае эллиптической кривой и ответа на вопрос об импорте существующего сертификата x509 и закрытого ключа в хранилище ключей Java, возможно, вы захотите взглянуть и на эту тему. Как читать закрытый ключ EC в java, который находится в формате файла .pem

Ответ 15

Использование сертификатов Let Encrypt

Предполагая, что вы создали свои сертификаты и закрытые ключи с помощью Let Encrypt в /etc/letsencrypt/live/you.com:

1. Создайте файл PKCS # 12

openssl pkcs12 -export -in fullchain.pem -inkey privkey.pem -out pkcs.p12 \
        -name letsencrypt

Это объединит ваш SSL-сертификат fullchain.pem и ваш закрытый ключ privkey.pem в один файл pkcs.p12.

Вам будет предложено ввести пароль для pkcs.p12.

Опция export указывает, что файл PKCS # 12 будет создан, а не проанализирован (из руководства).

2. Создайте хранилище ключей Java

keytool -importkeystore -destkeystore keystore.jks -srckeystore pkcs.p12 \
        -srcstoretype PKCS12 -alias letsencrypt

Если keystore.jks не существует, он будет создан с pkcs.12 файла pkcs.12 созданного выше. В противном случае вы импортируете pkcs.12 в существующее хранилище ключей.

Эти инструкции взяты из этого поста в блоге.

Здесь больше о различных видах файлов в /etc/letsencrypt/live/you.com/.