Trust Store vs Key Store - создание с помощью keytool

Терминология действительно немного сбивает с толку, но и javax.net.ssl.keyStore, и javax.net.ssl.trustStore используются, чтобы указать, какие хранилища ключей использовать для двух разных целей. Хранилища ключей бывают разных форматов и даже не обязательно являются файлами (см. этот вопрос) , а keytool - это просто инструмент для выполнения над ними различных операций (импорт / экспорт / список / ...).

Параметры javax.net.ssl.keyStore и javax.net.ssl.trustStore являются параметрами по умолчанию, используемыми для построения KeyManagers и TrustManagers (соответственно), а затем используются для построения SSLContext, который по существу содержит настройки SSL / TLS для использования при создании соединения SSL / TLS через SSLSocketFactory или SSLEngine. Именно из этих системных свойств берутся значения по умолчанию, которые затем используются SSLContext.getDefault(), а сами используются, например, SSLSocketFactory.getDefault(). (Все это можно настроить через API в нескольких местах, если вы не хотите использовать значения по умолчанию и эти конкретные SSLContext для определенной цели.)

Разница между KeyManager и TrustManager (и, следовательно, между javax.net.ssl.keyStore и javax.net.ssl.trustStore) заключается в следующем (цитата из Справочное руководство JSSE):

TrustManager: определяет, следует ли доверять учетным данным удаленной аутентификации (и, следовательно, соединению).

KeyManager: определяет, какие учетные данные для аутентификации отправлять на удаленный хост.

(Доступны и другие параметры, и их значения по умолчанию описаны в Справочное руководство JSSE. Обратите внимание, что, хотя для хранилища доверенных сертификатов есть значение по умолчанию, для хранилища ключей его нет.)

По сути, хранилище ключей в javax.net.ssl.keyStore предназначено для хранения ваших личных ключей и сертификатов, тогда как javax.net.ssl.trustStore предназначено для хранения сертификатов ЦС, которым вы готовы доверять, когда удаленная сторона представляет свой сертификат. В некоторых случаях это может быть одно и то же хранилище, хотя часто лучше использовать разные хранилища (особенно когда они основаны на файлах).

Чтобы объяснить общий вариант использования / цель или непрофессионал:

TrustStore: как видно из названия, обычно он используется для хранения сертификатов доверенных лиц. Процесс может поддерживать хранилище сертификатов всех доверенных сторон, которым он доверяет.

keyStore: используется для хранения ключей сервера (открытых и закрытых) вместе с подписанным сертификатом.

Во время рукопожатия SSL

1. Клиент пытается получить доступ к https: //

2. Таким образом, Сервер отвечает предоставлением сертификата SSL (который хранится в его хранилище ключей).

3. Теперь клиент получает сертификат SSL и проверяет его через trustStore (т.е. в trustStore клиента уже есть предопределенный набор сертификатов, которым он доверяет). Это как: Могу ли я доверять этому серверу? Это тот же сервер, с которым я пытаюсь поговорить? Никаких атак посредников?

4. После того, как клиент проверяет, что он разговаривает с сервером, которому он доверяет, тогда связь SSL может происходить через общий секретный ключ.

Примечание: я не говорю здесь ничего об аутентификации клиента на стороне сервера. Если сервер также хочет выполнить аутентификацию клиента, он также поддерживает trustStore для проверки клиента. Тогда это становится взаимным TLS

Нет разницы между файлами хранилища ключей и хранилищ доверенных сертификатов. Оба являются файлами в проприетарном формате файлов JKS. Различие заключается в использовании: насколько мне известно, Java будет использовать только хранилище, на которое ссылается системное свойство -Djavax.net.ssl.trustStore, для поиска сертификатов, которым можно доверять, при создании соединений SSL. То же самое для ключей и -Djavax.net.ssl.keyStore. Но теоретически можно использовать один и тот же файл для доверенных хранилищ и хранилищ ключей.

Keystore используется сервером для хранения закрытых ключей, а Truststore используется сторонним клиентом для хранения открытых ключей, предоставленных сервером для доступа. Я сделал это в своем производственном приложении. Ниже приведены шаги для создания сертификатов Java для связи SSL:

1. Создайте сертификат с помощью команды keygen в Windows:

keytool -genkey -keystore server.keystore -alias mycert -keyalg RSA -keysize 2048 -validity 3950

2. Самостоятельно заверить сертификат:

keytool -selfcert -alias mycert -keystore server.keystore -validity 3950

3. Экспорт сертификата в папку:

keytool -export -alias mycert -keystore server.keystore -rfc -file mycert.cer

4. Импортировать сертификат в клиентское хранилище доверенных сертификатов:

keytool -importcert -alias mycert -file mycert.cer -keystore truststore

Это шаги для создания Truststore на вашем локальном компьютере с помощью Keytool. Шаги по созданию доверенного хранилища для URL-адреса на вашем локальном компьютере.

1) Нажмите URL-адрес в браузере с помощью Chrome

2) Найдите значок i слева от URL-адреса в Chrome и щелкните его.

3) Отметьте параметр сертификата и щелкните его, откроется диалоговое окно.

4) проверьте на вкладке "путь к сертификату" количество сертификатов, доступных для создания хранилища доверенных сертификатов.

5) Выберите "details" tab -> click"Copy to File" -> Give the path and the name for the certificate, который хотите создать.

6) Проверьте, есть ли у него родительские сертификаты, и следуйте пункту «5».

7) После создания всех сертификатов откройте командную строку и перейдите по пути, по которому вы создали сертификаты.

8) предоставьте следующую команду Keytool, чтобы добавить сертификаты и создать хранилище доверенных сертификатов.

Sample: 
   keytool -import -alias abcdefg -file abcdefg.cer -keystore cacerts
        where "abcdefg" is the alias name and "abcdefg.cer" is the actual certificate name and "cacerts" is the truststore name

9) Введите команду keytool для всех сертификатов и добавьте их в хранилище доверенных сертификатов.

    keytool -list -v -keystore cacerts

хранилище ключей просто хранит закрытые ключи, тогда как хранилище доверенных сертификатов хранит открытые ключи. Вам нужно будет сгенерировать сертификат Java для связи SSL. Вы можете использовать команду keygen в Windows, это, вероятно, будет самым простым решением.