Java Key Store로 PEM 가져 오기


답변:


235

먼저 인증서를 DER 형식으로 변환하십시오.

openssl x509 -outform der -in certificate.pem -out certificate.der

그런 다음 키 저장소로 가져옵니다.

keytool -import -alias your-alias -keystore cacerts -file certificate.der

7
.pem 파일에 둘 이상의 인증서가 포함되어 있으면 작동하지 않습니다.
MarioVilas

14
단일 인증서 .pem이 있는데 작동하지 않습니다. 1795 : 오류 : 0906D06C : PEM 루틴 : PEM_read_bio : 시작 줄 없음 : / usr / src / secure / lib / libcrypto /../../../ crypto / openssl / crypto / pem / pem_lib.c : 648 : 예상 : 신뢰할 수있는 인증서
Brian Knoblauch

4
해결책을 찾았습니다. 루트 및 중간 인증서를 .pem에 미리 추가 한 다음 변환하십시오.
Brian Knoblauch

1
@Anthony이 명령은 PEM을 JKS로 가져 오는 방법 만 알려줍니다. 상점에서 JKS를 내보내는 명령을 추가하는 것이 좋습니다.
Vishal Biyani

2
.pem에 여러 인증서가있는 경우 Java 키 저장소로 가져 오려면 어떻게합니까?
Erick

55

PEM 형식의 인증서 만 키 저장소로 가져 오려면 keytool이 다음 작업을 수행합니다.

keytool -import -alias *alias* -keystore cacerts -file *cert.pem*

11
내가 이렇게하면 오류가 발생합니다 : keytool 오류 : java.lang.Exception : X.509 인증서를 입력하지 마십시오
frandevel

1
@frandevel,이 오류는 --- BEGIN 구분 기호 위에 헤더가 있거나 하나의 파일 또는 여러 파일에 여러 개의 PEM이있는 PEM 입력 파일로 인해 발생할 수 있습니다. 답변에 자세히 설명 된대로 모든 관련없는 데이터를 제거하고 한 번에 하나씩 각 PEM을 공급하거나 도구를 사용하십시오.
Alastair McCormack

@Fuzzyfelt에게 감사합니다. 살펴 보겠습니다
frandevel

1
동일한 문제가 발생하고 .PEM 파일이 깨끗하며 모든 적절한 헤더가 있습니다.
Brian Knoblauch

17

PEM 인증서를 Java 키 저장소로 직접 가져 오는 http://code.google.com/p/java-keyutil/ 을 개발했습니다 . 주요 목적은 ca-bundle.crt와 같은 다중 부분 PEM 운영 체제 인증서 번들을 가져 오는 것입니다. 이것들은 종종 keytool이 처리 할 수없는 헤더를 포함합니다

</self promotion>

4
나쁜 장난감 프로젝트는 아니지만 keytool이미이 모든 것을 수행합니다. ( FileOutputStream그러면 finally예외가 발생
Bruno

8
안녕 브루노, 팁 주셔서 감사합니다. 실제 사용 사례는 /etc/pki/tls/certs/ca-bundle.crt(RHEL/CentOS)의 모든 항목을 한 번에 가져 오는 것입니다. AFAIK, keytool은 첫 번째 항목 만 가져옵니다. 많은 사람들이 다르게 수행하는 것을 보았지만 일반적으로 각 인증서마다 여러 번 keytool을 호출해야합니다. Ubuntu에는 인증서를 디렉토리에 저장한다는 점을 제외하고는 정확하게이 작업을 수행하는 업데이트 스크립트가 있습니다. 가까운 시일 내에 디렉토리에 대한 지원을 추가 할 예정입니다. 코드를 검토해 주셔서 다시 한 번 감사드립니다.
Alastair McCormack

14

필자의 경우 상호 SSL 인증에 사용할 두 개의 인증서와 암호화 된 개인 키가 포함 된 pem 파일이있었습니다. 그래서 내 pem 파일은 다음과 같습니다.

-----BEGIN CERTIFICATE-----

...

-----END CERTIFICATE-----

-----BEGIN RSA PRIVATE KEY-----

Proc-Type: 4,ENCRYPTED

DEK-Info: DES-EDE3-CBC,C8BF220FC76AA5F9

...

-----END RSA PRIVATE KEY-----

-----BEGIN CERTIFICATE-----

...

-----END CERTIFICATE-----

여기 내가 한 일이 있습니다

파일을 세 개의 개별 파일로 분할하여 각 항목에 하나의 항목 만 포함되도록 시작 ---BEGIN..하고 ---END..줄로 시작하십시오 . 가정하자 우리는 이제 세 개의 파일이 있습니다 cert1.pem, cert2.pem하고 pkey.pem.

pkey.pemopenssl과 다음 구문을 사용하여 DER 형식으로 변환하십시오 .

openssl pkcs8 -topk8 -nocrypt -in pkey.pem-정보 PEM -out pkey.der-결과 DER

개인 키가 암호화 된 경우 DER 형식으로 변환하려면 암호를 제공해야합니다 (원래 pem 파일의 공급자로부터 입수) openssl. 암호는 다음과 같이 입력해야합니다 pkey.pem. " 암호를 입력하십시오 :".

변환에 성공하면이라는 새 파일이 생성 pkey.der됩니다.

새 Java 키 저장소를 작성하고 개인 키 및 인증서를 가져 오십시오.

String keypass = "password";  // this is a new password, you need to come up with to protect your java key store file
String defaultalias = "importkey";
KeyStore ks = KeyStore.getInstance("JKS", "SUN");

// this section does not make much sense to me, 
// but I will leave it intact as this is how it was in the original example I found on internet:   
ks.load( null, keypass.toCharArray());
ks.store( new FileOutputStream ( "mykeystore"  ), keypass.toCharArray());
ks.load( new FileInputStream ( "mykeystore" ),    keypass.toCharArray());
// end of section..


// read the key file from disk and create a PrivateKey

FileInputStream fis = new FileInputStream("pkey.der");
DataInputStream dis = new DataInputStream(fis);
byte[] bytes = new byte[dis.available()];
dis.readFully(bytes);
ByteArrayInputStream bais = new ByteArrayInputStream(bytes);

byte[] key = new byte[bais.available()];
KeyFactory kf = KeyFactory.getInstance("RSA");
bais.read(key, 0, bais.available());
bais.close();

PKCS8EncodedKeySpec keysp = new PKCS8EncodedKeySpec ( key );
PrivateKey ff = kf.generatePrivate (keysp);


// read the certificates from the files and load them into the key store:

Collection  col_crt1 = CertificateFactory.getInstance("X509").generateCertificates(new FileInputStream("cert1.pem"));
Collection  col_crt2 = CertificateFactory.getInstance("X509").generateCertificates(new FileInputStream("cert2.pem"));

Certificate crt1 = (Certificate) col_crt1.iterator().next();
Certificate crt2 = (Certificate) col_crt2.iterator().next();
Certificate[] chain = new Certificate[] { crt1, crt2 };

String alias1 = ((X509Certificate) crt1).getSubjectX500Principal().getName();
String alias2 = ((X509Certificate) crt2).getSubjectX500Principal().getName();

ks.setCertificateEntry(alias1, crt1);
ks.setCertificateEntry(alias2, crt2);

// store the private key
ks.setKeyEntry(defaultalias, ff, keypass.toCharArray(), chain );

// save the key store to a file         
ks.store(new FileOutputStream ( "mykeystore" ),keypass.toCharArray());

(선택 사항) 새 키 저장소의 컨텐츠를 확인하십시오.

$ keytool -list -keystore mykeystore -storepass password

키 저장소 유형 : JKS 키 저장소 제공자 : SUN

키 저장소에는 3 개의 항목이 있습니다.

  • cn = ..., ou = ..., o = .., 2014 년 9 월 2 일, trustedCertEntry, 인증서 지문 (SHA1) : 2C : B8 : ...

  • importkey, 2014 년 9 월 2 일, PrivateKeyEntry, 인증서 지문 (SHA1) : 9C : B0 : ...

  • cn = ..., o = ...., 2014 년 9 월 2 일, trustedCertEntry, 인증서 지문 (SHA1) : 83:63 : ...

(선택 사항) SSL 서버에 대해 새 키 저장소의 인증서 및 개인 키를 테스트하십시오 (VM 옵션으로 디버깅을 사용 가능하게 할 수 있습니다 : -Djavax.net.debug = all).

        char[] passw = "password".toCharArray();
        KeyStore ks = KeyStore.getInstance("JKS", "SUN");
        ks.load(new FileInputStream ( "mykeystore" ), passw );

        KeyManagerFactory kmf = KeyManagerFactory.getInstance("SunX509");
        kmf.init(ks, passw);

        TrustManagerFactory tmf = TrustManagerFactory.getInstance(TrustManagerFactory.getDefaultAlgorithm());
        tmf.init(ks);
        TrustManager[] tm = tmf.getTrustManagers();

        SSLContext sclx = SSLContext.getInstance("TLS");
        sclx.init( kmf.getKeyManagers(), tm, null);

        SSLSocketFactory factory = sclx.getSocketFactory();
        SSLSocket socket = (SSLSocket) factory.createSocket( "192.168.1.111", 443 );
        socket.startHandshake();

        //if no exceptions are thrown in the startHandshake method, then everything is fine..

인증서를 사용할 계획이라면 HttpsURLConnection에 인증서를 등록하십시오.

        char[] passw = "password".toCharArray();
        KeyStore ks = KeyStore.getInstance("JKS", "SUN");
        ks.load(new FileInputStream ( "mykeystore" ), passw );

        KeyManagerFactory kmf = KeyManagerFactory.getInstance("SunX509");
        kmf.init(ks, passw);

        TrustManagerFactory tmf = TrustManagerFactory.getInstance(TrustManagerFactory.getDefaultAlgorithm());
        tmf.init(ks);
        TrustManager[] tm = tmf.getTrustManagers();

        SSLContext sclx = SSLContext.getInstance("TLS");
        sclx.init( kmf.getKeyManagers(), tm, null);

        HostnameVerifier hv = new HostnameVerifier()
        {
            public boolean verify(String urlHostName, SSLSession session)
            {
                if (!urlHostName.equalsIgnoreCase(session.getPeerHost()))
                {
                    System.out.println("Warning: URL host '" + urlHostName + "' is different to SSLSession host '" + session.getPeerHost() + "'.");
                }
                return true;
            }
        };

        HttpsURLConnection.setDefaultSSLSocketFactory( sclx.getSocketFactory() );
        HttpsURLConnection.setDefaultHostnameVerifier(hv);

호스트 이름 확인자가 잘못되어 session.getPeerHost()인증서의 이름을 반환하지 않지만 연결 한 이름 (예 : urlHostName여기)이 반환 되므로 항상 사실입니다. 당신은 항상 true어쨌든 돌아오고 있습니다.
Bruno

9

외부 도구 (opensll, keytool)를 다루지 않고 Java로 PEM 파일을 쉽게로드 할 수있는 방법이 필요한 경우 프로덕션에서 사용하는 코드는 다음과 같습니다.

import java.io.BufferedReader;
import java.io.ByteArrayInputStream;
import java.io.File;
import java.io.FileReader;
import java.io.IOException;
import java.security.KeyFactory;
import java.security.KeyStore;
import java.security.KeyStoreException;
import java.security.NoSuchAlgorithmException;
import java.security.PrivateKey;
import java.security.cert.CertificateException;
import java.security.cert.CertificateFactory;
import java.security.cert.X509Certificate;
import java.security.interfaces.RSAPrivateKey;
import java.security.spec.InvalidKeySpecException;
import java.security.spec.PKCS8EncodedKeySpec;
import java.util.ArrayList;
import java.util.List;

import javax.net.ssl.KeyManager;
import javax.net.ssl.KeyManagerFactory;
import javax.net.ssl.SSLContext;
import javax.net.ssl.SSLServerSocketFactory;
import javax.xml.bind.DatatypeConverter;

public class PEMImporter {

    public static SSLServerSocketFactory createSSLFactory(File privateKeyPem, File certificatePem, String password) throws Exception {
        final SSLContext context = SSLContext.getInstance("TLS");
        final KeyStore keystore = createKeyStore(privateKeyPem, certificatePem, password);
        final KeyManagerFactory kmf = KeyManagerFactory.getInstance("SunX509");
        kmf.init(keystore, password.toCharArray());
        final KeyManager[] km = kmf.getKeyManagers();
        context.init(km, null, null);
        return context.getServerSocketFactory();
    }

    /**
     * Create a KeyStore from standard PEM files
     * 
     * @param privateKeyPem the private key PEM file
     * @param certificatePem the certificate(s) PEM file
     * @param the password to set to protect the private key
     */
    public static KeyStore createKeyStore(File privateKeyPem, File certificatePem, final String password)
            throws Exception, KeyStoreException, IOException, NoSuchAlgorithmException, CertificateException {
        final X509Certificate[] cert = createCertificates(certificatePem);
        final KeyStore keystore = KeyStore.getInstance("JKS");
        keystore.load(null);
        // Import private key
        final PrivateKey key = createPrivateKey(privateKeyPem);
        keystore.setKeyEntry(privateKeyPem.getName(), key, password.toCharArray(), cert);
        return keystore;
    }

    private static PrivateKey createPrivateKey(File privateKeyPem) throws Exception {
        final BufferedReader r = new BufferedReader(new FileReader(privateKeyPem));
        String s = r.readLine();
        if (s == null || !s.contains("BEGIN PRIVATE KEY")) {
            r.close();
            throw new IllegalArgumentException("No PRIVATE KEY found");
        }
        final StringBuilder b = new StringBuilder();
        s = "";
        while (s != null) {
            if (s.contains("END PRIVATE KEY")) {
                break;
            }
            b.append(s);
            s = r.readLine();
        }
        r.close();
        final String hexString = b.toString();
        final byte[] bytes = DatatypeConverter.parseBase64Binary(hexString);
        return generatePrivateKeyFromDER(bytes);
    }

    private static X509Certificate[] createCertificates(File certificatePem) throws Exception {
        final List<X509Certificate> result = new ArrayList<X509Certificate>();
        final BufferedReader r = new BufferedReader(new FileReader(certificatePem));
        String s = r.readLine();
        if (s == null || !s.contains("BEGIN CERTIFICATE")) {
            r.close();
            throw new IllegalArgumentException("No CERTIFICATE found");
        }
        StringBuilder b = new StringBuilder();
        while (s != null) {
            if (s.contains("END CERTIFICATE")) {
                String hexString = b.toString();
                final byte[] bytes = DatatypeConverter.parseBase64Binary(hexString);
                X509Certificate cert = generateCertificateFromDER(bytes);
                result.add(cert);
                b = new StringBuilder();
            } else {
                if (!s.startsWith("----")) {
                    b.append(s);
                }
            }
            s = r.readLine();
        }
        r.close();

        return result.toArray(new X509Certificate[result.size()]);
    }

    private static RSAPrivateKey generatePrivateKeyFromDER(byte[] keyBytes) throws InvalidKeySpecException, NoSuchAlgorithmException {
        final PKCS8EncodedKeySpec spec = new PKCS8EncodedKeySpec(keyBytes);
        final KeyFactory factory = KeyFactory.getInstance("RSA");
        return (RSAPrivateKey) factory.generatePrivate(spec);
    }

    private static X509Certificate generateCertificateFromDER(byte[] certBytes) throws CertificateException {
        final CertificateFactory factory = CertificateFactory.getInstance("X.509");
        return (X509Certificate) factory.generateCertificate(new ByteArrayInputStream(certBytes));
    }

}

즐기세요


제공된 " EMS의 SSLServerSocketFactory 기능"을 사용하여 구성하기가 더 쉬운 "SSL over Apache MINA"에 대한 질문은 mina.apache.org/mina-project/userguide/ch11-ssl-filter/…를 참조하십시오 .
BluEOS

8

나는 한 번에 한 번만 할 수있는 일이기 때문에 가능한 방법을 잊어 버리고 있습니다. 이것은 가능한 해결책 중 하나이며 작동합니다.

  1. 즐겨 사용하는 브라우저로 이동하여 보안 웹 사이트에서 기본 인증서를 다운로드하십시오.
  2. 다음 두 줄의 코드를 실행하십시오.

    $ openssl x509 -outform der -in GlobalSignRootCA.crt -out GlobalSignRootCA.der
    $ keytool -import -alias GlobalSignRootCA -keystore GlobalSignRootCA.jks -file GlobalSignRootCA.der
    
  3. Java SE 환경에서 실행하는 경우 다음 옵션을 추가하십시오.

    $ java -Djavax.net.ssl.trustStore=GlobalSignRootCA.jks -Djavax.net.ssl.trustStorePassword=trustStorePassword -jar MyJar.jar
  4. 또는 Java 코드에 다음을 추가하십시오.

    System.setProperty("javax.net.ssl.trustStore", "GlobalSignRootCA.jks");
    System.setProperty("javax.net.ssl.trustStorePassword","trustStorePassword");
    

2 단계의 다른 옵션은 keytool명령을 사용하는 것 입니다. Bellow는 일련의 인증서가있는 예입니다.

$ keytool -import -file org.eu.crt -alias orgcrt -keystore globalsignrs.jks
$ keytool -import -file GlobalSignOrganizationValidationCA-SHA256-G2.crt -alias globalsignorgvalca -keystore globalsignrs.jks
$ keytool -import -file GlobalSignRootCA.crt -alias globalsignrootca -keystore globalsignrs.jks


3

시각적 JKS 작성 및 인증서 가져 오기를 허용하는 GUI 도구도 있습니다.

http://portecle.sourceforge.net/

Portecle은 키 저장소, 키, 인증서, 인증서 요청, 인증서 해지 목록 등을 생성, 관리 및 검사하기위한 사용자 친화적 인 GUI 응용 프로그램입니다.


1
키 저장소 탐색기는 portecle의 최신 버전입니다. 메뉴와 기능에는 전혀 차이가 없습니다.
Setmax

0

나는 인터넷에서 그것을 얻었다. 여러 항목을 포함하는 pem 파일에 매우 효과적입니다.

#!/bin/bash
pemToJks()
{
        # number of certs in the PEM file
        pemCerts=$1
        certPass=$2
        newCert=$(basename "$pemCerts")
        newCert="${newCert%%.*}"
        newCert="${newCert}"".JKS"
        ##echo $newCert $pemCerts $certPass
        CERTS=$(grep 'END CERTIFICATE' $pemCerts| wc -l)
        echo $CERTS
        # For every cert in the PEM file, extract it and import into the JKS keystore
        # awk command: step 1, if line is in the desired cert, print the line
        #              step 2, increment counter when last line of cert is found
        for N in $(seq 0 $(($CERTS - 1))); do
          ALIAS="${pemCerts%.*}-$N"
          cat $pemCerts |
                awk "n==$N { print }; /END CERTIFICATE/ { n++ }" |
                $KEYTOOLCMD -noprompt -import -trustcacerts \
                                -alias $ALIAS -keystore $newCert -storepass $certPass
        done
}
pemToJks <pem to import> <pass for new jks>
당사 사이트를 사용함과 동시에 당사의 쿠키 정책개인정보 보호정책을 읽고 이해하였음을 인정하는 것으로 간주합니다.
Licensed under cc by-sa 3.0 with attribution required.