Keytool工具的介绍与使用方法_编程开发

一、keytool 简介

keytool 是一个 java数据证书的管理工具, keytool将密钥（key）和证书（certificates）存在一个称为 keystore的文件中。

keystore 文件介绍

在 keystore里，包含两种数据：

密钥实体（key entity）——密钥（secret key）又或者是私钥和配对公钥（采用非对称加密）
可信任的证书实体（trusted certificate entries）——只包含公钥

我们常说的证书就是就是上面的公钥，公钥是公开给其它人使用的。

证书后缀解释

jks 是java的keytool证书工具支持的证书私钥格式；
pfx 是微软支持的私钥格式（p12是pfx的新格式）；
cer / crt 是证书的公钥格式（cer是crt证书的微软形式）
csr 数字证书签名请求文件（cerificate signing request）

tips:

.der .cer ：此证书文件是二进制格式，只含有证书信息，不包含私钥。
.crt ：此证书文件是二进制格式或文本格式，一般为文本格式，功能与 .der 及 .cer 证书文件相同。
.pem ：此证书文件一般是文本格式，可以存放证书或私钥，或者两者都包含。 .pem 文件如果只包含私钥，一般用 .key 文件代替。
.pfx .p12 ：此证书文件是二进制格式，同时包含证书和私钥，且一般有密码保护。
.keystore .truststore : 两者本质都是keystore，都是储存密钥的容器：
- 两者存放的密钥所有者不同，keystore是存储自己的公钥和私钥而，truststore是存储自己信任对象的公钥。约定通过文件名称区分类型以及用途；
- truststore 是必须的，如果我们没有显式的指定，那么java会默认指定为 $java_home/lib/security/cacerts 这个文件；
- java 在jdk 中已经默认在 $java_home/lib/security/cacerts 这个文件中预置了常用的证书；
不同语言需要的证书格式并不一致，比如说java采用jks，.net采用pfx和cer，php则采用pem和cer；
区别证书的不是后缀名，而是文件的格式和内容。

二、keytool 命令详解

密钥和证书管理工具

-certreq            生成证书请求
-changealias        更改条目的别名
-delete             删除条目
-exportcert         导出证书（简写 export）
-genkeypair         生成密钥对（简写 genkey）
-genseckey          生成密钥
-gencert            根据证书请求生成证书
-importcert         导入证书或证书链（简写 import）
-importpass         导入口令
-importkeystore     从其他密钥库导入一个或所有条目
-keypasswd          更改条目的密钥口令
-list               列出密钥库中的条目
-printcert          打印证书内容
-printcertreq       打印证书请求的内容
-printcrl           打印 crl 文件的内容
-storepasswd        更改密钥库的存储口令

tips:

使用 ketytool --help 获取所有可用命令
使用 keytool -command_name -help 来获取 command_name 的用法

常用参数

-genkey         产生密钥对（genkeypair 简写）；表示要创建一个新的密钥；alias和keystore缺省时，在用户主目录中创建一个”.keystore”文件，且别名为mykey，包含用户的公钥、私钥证书
-alias          产生证书别名，和keystore关联的唯一别名，不区分大小写（默认 `mykey`）
-keystore       指定密钥库文件的名称（默认在用户主目录创建证书库）
-keyalg         指定密钥的算法（可选择密钥算法：`rsa`、`dsa`、`ec`，默认`dsa`）
-keysize        指定密钥长度（与keyalg默认对应关系：`rsa=2048`、`dsa=2048`、`ec=256`）
-sigalg         指定签名算法（md5和 sha1的签名算法已经不安全）
-validity       指定证书有效期天数（默认 `90`天）
-storepass      指定密钥库口令，推荐与keypass一致（获取keystore信息所需的密码）
-storetype      指定密钥库的类型，可用类型为：jks、pkcs12等。（jdk9以前，默认为jks。自jdk9开始，默认为pkcs12）
-keypass        指定别名条目口令（私钥的密码）
-dname          指定证书发行者信息（其中 cn 要和服务器的 `域名` 或 `ip` 相同，本地测试则使用localhost，其他的可以不填）
-list           显示密钥库中的证书信息
-v              详细输出，显示密钥库中的证书详细信息
-file           指定导出或导出的文件名
-export         将别名指定的证书导出到文件（exportcert 简写）
-import         将已签名数字证书导入密钥库（importcert 简写）
-printcert      查看导出的证书信息
-delete         删除密钥库中某条目
-keypasswd      修改密钥库中指定条目口令
-storepasswd    修改keystore口令
-ext            x.509 扩展

tips:

所有密码长度必须大于或等于 6 位
keyalg 指定加密算法；可以选择的密钥算法有：rsa、dsa（默认）、ec。
sigalg 指定签名算法（md5和 sha1的签名算法已经不安全）:
- keyalg = rsa 时，签名算法有：md5withrsa、sha1withrsa、sha256withrsa（默认）、sha384withrsa、sha512withrsa
- keyalg = dsa 时，签名算法有：sha1withdsa、sha256withdsa（默认）
dname 表明了密钥的发行者身份（distinguished names）
- cn = 域名或ip（common name）注：生成服务器证书时，cn要和服务器的域名或 ip 相同，本地测试则使用localhost，其他的可以不填（客户端证书无要求）
- ou = 组织单位名称（organization unit）
- o = 组织名称（organization name）
- l = 城市或区域名称（locality name）
- st = 州或省份名称（state name）
- c = 国家的简写（country，cn 代表中国）

三、证书操作

创建证书

创建秘钥库(keystore),秘钥库是存储一个或多个密钥条目的文件，每个密钥条目应该以一个别名标识，它包含密钥和证书相关信息。

usage:

keytool -genkey 
        -alias <alias> 
        -keyalg rsa 
        [-sigalg sha256withrsa] 
        [-keysize 2048] 
        -keypass <keypasswd> 
        -keystore <keystore_file> 
        -storetype jks|pkcs12 
        -storepass <keystore_passwd> 
        -validity 3650 
        -dname "cn=github.com,ou=github.com,inc.,o=github, inc.,l=san francisco,st=california,c=us" 
        -ext san=dns:github.com,dns:www.github.com,ip:127.0.0.1

options:

-genkey     产生密钥对（genkeypair 简写）
-alias      证书别名；和keystore关联的唯一别名，这个alias通常不区分大小写（默认`mykey`）
-keyalg     指定加密算法，rsa：非对称加密（默认`dsa`）
-sigalg     指定签名算法，可选;
-keysize    指定密钥长度，可选;
-keypass    指定别名条目口令（私钥的密码）
-storetype  生成证书类型，可用的证书库类型为：jks、pkcs12等。（jdk9以前，默认为jks。自jdk9开始，默认为pkcs12）
-keystore   指定产生的密钥库的位置；
-storepass  指定密钥库的存取口令，推荐与keypass一致
-validity   证书有效期天数；（默认为 90天）
-dname      表明了密钥的发行者身份（distinguished names）生成证书时，其中 cn 要和服务器的 `域名` 或 `ip` 相同，本地测试则使用localhost，其他的可以不填
-ext        x.509 扩展

tips：

此处需要注意：md5 和sha1 的签名算法已经不安全；
如果tomcat所在服务器的域名不是 “localhost” 时，浏览器会弹出警告窗口，提示用户证书与所在域不匹配。
- 服务器证书 dname的 cn应改为对应的域名，如 “www.github.com”；在本地做开发测试时，cn应填入 “localhost”；
- 客户端证书 dname的 cn可以是任意值，且不用使用 -ext扩展。

导出证书信息

此证书文件不包含私钥；分为自签名证书和认证证书，下面分别介绍了两中证书的生成方式

认证证书与导出的服务器自签名证书作用一致，使用时取其中一种证书即可。两者主要区别为是否经证书机构认证；
使用自签名证书则无需生成证书签名请求(csr)，使用认证证书则无需导出服务器自签名证书；
大部分认证证书都是收费的；

导出自签名证书

自签名证书没有经过证书认证机构进行认证，但并不影响使用，我们可以使用相应的命令对证书进行导出;

usage:

keytool -export 
        -alias <alias> 
        -keystore <keystore_file> 
        -storepass <keystore_passwd> 
        -file <file_cer>    
        [-rfc]

options:

-export     执行证书导出操作（exportcert 简写）
-alias      密钥库中的证书条目别名（jks里可以存储多对公私钥文件，通过别名指定导出的公钥证书）
-keystore   指定密钥库文件
-storepass  密钥库口令
-file       导出文件的输出路径
-rfc        使用base64格式输出（输出pem编码格式的证书，文本格式），不适用则导出的证书为der编码格式

获取认证证书（生成证书签名请求）

如果想得到证书认证机构的认证，则不使用上述的自签名证书，需要使用步骤导出数字证书并签发申请（cerificate signing request），经证书认证机构认证并颁发后，再将认证后的证书导入本地密钥库与信任库。

usage:

keytool -certreq 
        -alias <alias> 
        -keystore <keystore_file> 
        -storepass <keystore_passwd> 
        -file <file_csr>

options:

-certreq 执行证书签发申请导出操作
-alias 密钥库中的证书条目别名
-keystore 密钥库文件名称
-storepass 密钥库口令
-file 输出的csr文件路径

导入证书库

双向认证：将各自的公钥证书分别导入对方的信任库，使客户端和服务端相互信任。

usage:

keytool -import
[-trustcacerts]
-alias <alias_cer>
-keystore <keystore_file>
-storepass <keystore_passwd>
-file <file_cer>

options:

-import 执行证书导入操作（importcert 简写）
-alias 指定导入密钥库中的证书别名（指定的条目别名不能与密钥库中已存在的条目别名重复（导入签发证书除外））
-trustcacerts 将证书导入信任库（信任来自 cacerts 的证书）
-keystore 密钥库名称
-storepass 密钥库口令
-file 输入文件名

tips：此步骤会生成信任证书 truststore.jks文件，文件存放需要信任的公钥证书，如客户端证书（也可以将 keystore值改为服务器密钥库，如tomcat.jks。此时的tomcat.jks 就同时是服务的密钥库和信任库）

安装服务器证书

（将服务器公钥证书导入客户端）

双向认证：客户端信任服务端：在客户机器上双击证书文件完成导入操作（window中导入）安装公钥证书

安装公钥证书

将服务器公钥证书（cer | crt等格式文件）发往客户端机器
--> 双击该证书进入“证书信息”页
--> 点击【安装证书】进入“证书导入向导”首页
--> 点击【下一步】
--> 选中【将所有的证书都放入下列存储】，然后单击【浏览】
--> 选择【受信任的根证书颁发机构】并点击【确定】
--> 点击【下一步】
--> 点击【完成】。然后弹出提示【导入完成】。

安装客户端证书

将客户端证书（jsk | p12等格式文件）发往客户端机器
--> 双击该证书进入“证书导入向导”首页
--> 点击【下一步】
--> 点击【下一步】
--> 输入证书密码（keystore密码）并点击【下一步】
--> 点击【下一步】（这里也可以自己指定证书储存）
--> 点击【完成】。然后弹出提示【导入完成】。

查看证书

usage:

查看单个证书（cer | crt）
keytool -printcert -file <cert_file> [-v|-rfc]

查看密钥库中的证书条目

keytool -list [-alias <alias_name>] -keystore <keystore_file> -storepass <keystore_passwd> [-v|-rfc]

查看生成的csr证书请求

keytool -printcertreq -file <certreq_file>

options:

-alias 密钥库中的证书条目别名；
-keystore 指定密钥库文件；
-storepass 密钥库口令；
-printcert 执行证书打印命令；
-list 缺省情况下，命令打印证书的 md5 指纹。
而如果指定了 -v 选项，将以可读格式打印证书，
如果指定了 -rfc 选项，将以可打印的编码格式输出证书。

其他命令

# 删除keystore里面指定证书条目
keytool -delete -alias <alias> -keystore <keystore_file> -storepass <keystore_passwd>

# 修改条目别名
keytool -changealias -keystore <keystore_file> -alias <old_alias> -destalias <new_alias>

# 修改条目密码
keytool -keypasswd -alias <alias> -keypass <old_keypasswd> -new <new_keypasswd> -keystore <keystore_file> -storepass <keystore_passwd>

# 修改keysore密码
keytool -storepasswd -new <new_storepasswd> -keystore <keystore_file> -storepass <old_storepasswd>

# 列出信任的ca证书（查看 jvm的信任库中的证书，storepass 默认为changeit）
## 该证书文件存在于java_home\jre\lib\security目录下，是java系统的ca证书仓库，可以用 'alias' 来查看证书是否真的导入到jvm中
keytool -list -v [-alias clientcer] -keystore $java_home/jre/lib/security/cacerts -storepass changeit

# 导入新的ca到信任证书，导入到 jre的信任证书库
## 常出现的异常：“未找到可信任的证书” -- 主要原因为在客户端未将服务器下发的证书导入到jvm中。
keytool -import -trustcacerts -alias clientcer -keystore $java_home/jre/lib/security/cacerts -storepass changeit -file ~/ssl/client.cer

四、栗子

ssl单向证书认证配置#

创建服务器证书
导出服务器公钥证书
将服务器公钥证书导入客户端（客户端信任服务器）
配置 tomcat/conf/server.xml，找到如下原注释内容，并修改如下：

<connector port="8443" protocol="http/1.1" sslenabled="true"
    maxthreads="150" scheme="https" secure="true"
    clientauth="false" sslprotocol="tls"
    keystorefile="~/ssl/tomcat.jks" keystorepass="123456"
/>

keytool 配置tomcat的 https单向认证:

https://www.cnblogs.com/librarookie/p/16806817.html

ssl双向证书认证配置

创建服务器证书，创建客户端证书
导出服务器公钥证书，导出客户端公钥证书
将服务器公钥证书导入客户端（客户端信任服务器）
将客户端公钥证书导入信任库（服务器信任客户端）
配置 tomcat/conf/server.xml，并开启双向认证（clientauth的值改为true）

<connector port="8443" protocol="http/1.1" sslenabled="true"
    maxthreads="150" scheme="https" secure="true"
    clientauth="true" sslprotocol="tls"
    keystorefile="~/ssl/tomcat.jks" keystorepass="123456"
    truststorefile="~/ssl/truststore.jks" truststorepass="123456"
/>

keytool 配置tomcat的 https双向认证:

https://www.cnblogs.com/librarookie/p/16807218.html

五、常见问题

浏览器访问时，出现的提示与可能原因：

此服务器无法证实它是“192.168..” - 您计算机的操作系统不信任其安全证书。。。

-- 客户端未导入服务器证书

此服务器无法证实它就是“192.168..” - 它的安全证书没有指定主题备用名称。。。

-- 生成服务器证书库未使用 -ext参数

“192.168..”不接受您的登录证书，或者您可能没有提供登录证书。。。

-- tomcat配置开了双向认证，且未指定信任证书库（truststore）

via

到此这篇关于keytool工具的介绍与使用方法的文章就介绍到这了,更多相关keytool用法内容请搜索代码网以前的文章或继续浏览下面的相关文章，希望大家以后多多支持代码网！

Keytool工具的介绍与使用方法

2023年04月29日 • 编程开发 •我要评论

一、keytool 简介

keystore 文件介绍

证书后缀解释

二、keytool 命令详解

密钥和证书管理工具

常用参数

三、证书操作

创建证书

导出证书信息

导出自签名证书

获取认证证书（生成证书签名请求）

导入证书库

安装服务器证书

安装公钥证书

安装客户端证书

查看证书

其他命令

四、栗子

ssl双向证书认证配置

五、常见问题

相关文章:

vscode中git怎么设置未追踪的变化?

VS Code中git时间线视图怎么不显示作者?

VS Code中git怎么取消使用提交输入作为隐藏消息?

MathWorks Matlab R2023a中文版永久密钥激活+详细安装教程(含下载)

VS Code自动转发端口在哪? VSCode开启自动转发端口的技巧

如何免费激活BitRecover HTML Converter Wizard 附激活教程+激活补丁

发表评论


验证码：