Keytool создает доверенный самоподписанный сертификат

Вам нужно будет «установить доверие» между вашим сервером и клиентом (я предполагаю, что вам нужно только выполнить аутентификацию на стороне сервера). Это потому, что вы используете самоподписанные сертификаты. Это включает в себя импорт сертификата вашего сервера в хранилище доверенных сертификатов клиента:

На стороне сервера:

keytool -keystore <keystore file> -alias <alias> -export -file <certfilename>.cert

Скопируйте файл .cert на сторону клиента, а затем:

keytool -keystore <truststore file> -alias <alias> -import -file <certfilename>.cert

Вы не можете совместно использовать хранилище ключей между клиентом и сервером, потому что хранилище ключей содержит закрытый ключ. При аутентификации клиент пропускает сертификаты с закрытыми ключами. Как сказано выше, вам необходимо развернуть хранилище доверенных сертификатов на стороне клиента.

Сертификаты в хранилище ключей ведут себя по-разному, в зависимости от того, как вы их создали или импортировали.

Тип записи импортированного сертификата (видимый при подробном перечислении всего хранилища ключей с помощью -list -v) — «trustedCertEntry». Тип записи сгенерированного сертификата — «PrivateKeyEntry». При экспорте сертификата вы экспортируете только его открытый ключ и необязательную ссылку на его издателя.

Похоже, вам нужно экспортировать самоподписанный сертификат в хранилище ключей в качестве доверенного сертификата в хранилище доверенных сертификатов (имена здесь имеют смысл).

Я бы не стал этого делать, потому что реализации SSL/TLS, вероятно, не поддерживают его. С точки зрения реального мира, это все равно, что развернуть полностью секретный закрытый ключ от Verisign на каком-то малоизвестном веб-сервере для подписи случайных страниц, в то время как единственная цель этого закрытого ключа — оставаться в сейфе и подписывать другие сертификаты. Разработчики SSL/TLS, вероятно, не будут загрязнять свой код таким вариантом использования, и в любом случае расширение сертификата «KeyUsage» может ограничить использование сертификата подписью, предотвращая шифрование.

Вот почему я предлагаю перестроить цепочку сертификатов для вашего теста.

Документация по keytool содержит интересную часть о создании цепочки (команда -gencert), но это очень схематичный пример, который не охватывает отношения между хранилищем ключей и доверенным хранилищем. Я расширил его, чтобы имитировать сторонний центр сертификации.

Временное хранилище their-keystore.jks представляет собой центр выдачи сертификатов. Я загружаю его цепочкой сертификатов ca2 -> ca1 -> ca, где ca считается корневым сертификатом. Цепочка появляется с каждым некорневым сертификатом (а именно ca1 и ca2), ссылающимся на своего издателя как Certificate[2]. Обратите внимание, что каждый сертификат является "PrivateKeyEntry".

Затем я загружаю my-keystore.jks этими сертификатами в следующем порядке: ca, ca1, ca2. Я импортирую ca с опцией -trustcacerts, что означает, что он становится корневым сертификатом. В my-keystore.jks каждый импортированный сертификат теперь является "trustedCertEntry", что означает наличие только открытого ключа. Отношения выдачи отображаются только в поле «Эмитент», но это нормально, поскольку доверительные отношения имели наибольшее значение во время импорта.

На данный момент my-keystore.jks имитирует среду, содержащую несколько доверенных сертификатов, например новую JRE. their-keystore.jks имитирует владельцев этих сертификатов, которые имеют право подписывать запросы на сертификаты.

Я тоже: я создаю самозаверяющий сертификат e1 в my-keystore.jks, подписываю его ca2 (через their-keystore.jks) и импортирую подписанный результат обратно в my-keystore.jks. e1 по-прежнему является «PrivateKeyEntry» (поскольку его закрытый ключ остается в my-keystore.jks), но теперь я построил следующую цепочку: e1 -> ca2 -> ca1. Кажется, что ca1 -> ca подразумевается, а ca является центром сертификации.

Чтобы создать доверенное хранилище, я просто импортирую сертификаты ca, ca1 и ca2 так же, как и для my-keystore.jks. Обратите внимание, что я не импортирую e1, так как ожидаю, что клиент SSL/TLS проверит его на соответствие ca2.

Я думаю, что это довольно близко к тому, как все работает в реальном мире. Что здесь хорошо, так это то, что у вас есть полный контроль над сертификатами и нет зависимости от cacerts JRE.

Вот код, воплощающий то, что я говорю, на практике. Кажется, работает с Jetty (клиент и сервер), если вы отключите список отзыва сертификатов (тема оставлена ​​​​на другой день).

#!/bin/bash

rm  their-keystore.jks 2> /dev/null
rm  my-keystore.jks    2> /dev/null
rm  my-truststore.jks  2> /dev/null

echo "===================================================="
echo "Creating fake third-party chain ca2 -> ca1 -> ca ..."
echo "===================================================="

keytool -genkeypair -alias ca  -dname cn=ca                           \
  -validity 10000 -keyalg RSA -keysize 2048                           \
  -ext BasicConstraints:critical=ca:true,pathlen:10000                \
  -keystore their-keystore.jks -keypass Keypass -storepass Storepass

keytool -genkeypair -alias ca1 -dname cn=ca1                          \
  -validity 10000 -keyalg RSA -keysize 2048                           \
  -keystore their-keystore.jks -keypass Keypass -storepass Storepass

keytool -genkeypair -alias ca2 -dname cn=ca2                          \
  -validity 10000 -keyalg RSA -keysize 2048                           \
  -keystore their-keystore.jks -keypass Keypass -storepass Storepass


  keytool -certreq -alias ca1                                            \
    -keystore their-keystore.jks -keypass Keypass -storepass Storepass   \
| keytool -gencert -alias ca                                             \
    -ext KeyUsage:critical=keyCertSign                                   \
    -ext SubjectAlternativeName=dns:ca1                                  \
    -keystore their-keystore.jks -keypass Keypass -storepass Storepass   \
| keytool -importcert -alias ca1                                         \
    -keystore   their-keystore.jks -keypass Keypass -storepass Storepass

#echo "Debug exit" ; exit 0

  keytool -certreq -alias ca2                                           \
    -keystore their-keystore.jks -keypass Keypass -storepass Storepass  \
| keytool -gencert -alias ca1                                           \
    -ext KeyUsage:critical=keyCertSign                                  \
    -ext SubjectAlternativeName=dns:ca2                                 \
    -keystore their-keystore.jks -keypass Keypass -storepass Storepass  \
| keytool -importcert -alias ca2                                        \
    -keystore their-keystore.jks -keypass Keypass -storepass Storepass

keytool -list -v -storepass Storepass -keystore their-keystore.jks


echo  "===================================================================="
echo  "Fake third-party chain generated. Now generating my-keystore.jks ..."
echo  "===================================================================="
read -p "Press a key to continue."

# Import authority's certificate chain

  keytool -exportcert -alias ca                                         \
    -keystore their-keystore.jks -keypass Keypass -storepass Storepass  \
| keytool -importcert -trustcacerts -noprompt -alias ca                 \
    -keystore  my-keystore.jks -keypass Keypass -storepass Storepass

  keytool -exportcert -alias ca1                                        \
    -keystore their-keystore.jks -keypass Keypass -storepass Storepass  \
| keytool -importcert -noprompt -alias ca1                              \
    -keystore  my-keystore.jks -keypass Keypass -storepass Storepass

  keytool -exportcert -alias ca2                                        \
    -keystore their-keystore.jks -keypass Keypass -storepass Storepass  \
| keytool -importcert -noprompt -alias ca2                              \
    -keystore  my-keystore.jks -keypass Keypass -storepass Storepass

# Create our own certificate, the authority signs it.

keytool -genkeypair -alias e1  -dname cn=e1                        \
  -validity 10000 -keyalg RSA -keysize 2048                        \
  -keystore my-keystore.jks -keypass Keypass -storepass Storepass

  keytool -certreq -alias e1                                            \
    -keystore my-keystore.jks -keypass Keypass -storepass Storepass     \
| keytool -gencert -alias ca2                                           \
    -ext SubjectAlternativeName=dns:localhost                           \
    -ext KeyUsage:critical=keyEncipherment,digitalSignature             \
    -ext ExtendedKeyUsage=serverAuth,clientAuth                         \
    -keystore their-keystore.jks -keypass Keypass -storepass Storepass  \
| keytool -importcert -alias e1                                         \
    -keystore my-keystore.jks -keypass Keypass -storepass Storepass

keytool -list -v  -storepass Storepass -keystore  my-keystore.jks

echo "================================================="
echo "Keystore generated. Now generating truststore ..."
echo "================================================="
read -p "Press a key to continue."

  keytool -exportcert -alias ca                                        \
    -keystore my-keystore.jks -keypass Keypass -storepass Storepass    \
| keytool -importcert -trustcacerts -noprompt -alias ca                \
    -keystore my-truststore.jks -keypass Keypass -storepass Storepass

  keytool -exportcert -alias ca1                                       \
    -keystore my-keystore.jks -keypass Keypass -storepass Storepass    \
| keytool -importcert -noprompt -alias ca1                             \
    -keystore my-truststore.jks -keypass Keypass -storepass Storepass

  keytool -exportcert -alias ca2                                       \
    -keystore my-keystore.jks -keypass Keypass -storepass Storepass    \
| keytool -importcert -noprompt -alias ca2                             \
    -keystore my-truststore.jks -keypass Keypass -storepass Storepass

keytool -list -v  -storepass Storepass -keystore  my-truststore.jks

rm  their-keystore.jks 2> /dev/null

Вы не должны этого делать. Хранилище ключей является строго частным. Если вы расскажете об этом кому-либо, вы нанесете фатальный ущерб безопасности. Нет смысла делать такие вещи только для того, чтобы заставить их работать, потому что они не работают — это просто брешь в системе безопасности. Вы должны сделать это правильно: экспортировать из хранилища ключей сервера в хранилище доверенных сертификатов клиента и из хранилища ключей клиента, если оно есть, в хранилище ключей сервера.

Я не понимаю. Используете ли вы хранилище ключей сервера с клиентом? Каков именно ваш вариант использования? Вы пытаетесь настроить взаимную аутентификацию?

Если да, то вы на неправильном пути здесь. Вам понадобится хранилище ключей клиента (для самозаверяющего сертификата клиента и закрытого ключа) и хранилище доверенных сертификатов клиента (для "автономного" самозаверяющего сертификата сервера, т. е. без его закрытого ключа). Оба отличаются от хранилища ключей сервера.