Trust Store vs Key Store - keytool ile oluşturma

Anahtar deposunun genellikle özel / genel anahtarları ve güven deposunun yalnızca ortak anahtarları tutacağını anlıyorum (ve iletişim kurmak istediğiniz güvenilir tarafların listesini temsil ediyor). Bu benim ilk varsayımım, eğer bu doğru değilse, muhtemelen çok iyi başlamamıştım ...

Keytool kullanırken mağazaları nasıl / ne zaman ayırdığınızı anlamakla ilgileniyordum.

Şimdiye kadar kullanarak bir anahtar deposu oluşturdum

keytool -import -alias bob -file bob.crt -keystore keystore.ks

Bu benim keystore.ks dosyamı oluşturur. yesBob'a güveniyorum sorusuna cevap veriyorum ama bu bir anahtar deposu dosyası mı yoksa bir truststore dosyası mı oluşturduysa net değil mi? Uygulamamı dosyayı da kullanacak şekilde ayarlayabilirim.

-Djavax.net.ssl.keyStore=keystore.ks -Djavax.net.ssl.keyStorePassword=x
-Djavax.net.ssl.trustStore=keystore.ks -Djavax.net.ssl.trustStorePassword=x

ve System.setProperty( "javax.net.debug", "ssl")set ile sertifikayı güvenilir sertifikalar altında görebilirim (ancak anahtar deposu bölümü altında değil). İçe aktardığım sertifikanın sadece ortak bir anahtarı var ve bunu Bob'a bir SSL bağlantısı üzerinden bir şeyler göndermek için kullanmayı düşünüyorum (ama belki de en iyisi başka bir soru için kaldı!).

Herhangi bir işaretçi veya açıklama çok takdir edilecektir. Keytool'un çıktısı, ne içe aktarırsanız aktarılsın ve bir anahtar deposu diğeri bir güven deposu olduğunu söyleyen tek kural mı? SSL vb. Kullanırken ilişki nedir?

Terminoloji gerçekten biraz kafa karıştırıcıdır, ancak her ikisi de javax.net.ssl.keyStoreve javax.net.ssl.trustStorehangi anahtar depolarının iki farklı amaç için kullanılacağını belirtmek için kullanılır. Anahtar depoları çeşitli biçimlerde gelir ve hatta dosya olması gerekmez ( bu soruya bakın ) ve keytoolbunlar üzerinde çeşitli işlemleri gerçekleştirmek için bir araçtır (import / export / list / ...).

javax.net.ssl.keyStorevejavax.net.ssl.trustStore parametreleri yapı için kullanılan varsayılan parametrelerdir KeyManagerlar ve TrustManagers (sırasıyla), sonra bir oluşturmak için kullanılan SSLContextbir üzeri / TLS bağlantısı bir SSL yaparken esasen kullanımına SSL / TLS ayarlarını içeren SSLSocketFactoryveya bir SSLEngine. Bu sistem özellikleri, varsayılan değerlerin nereden geldiği, örneğin SSLContext.getDefault()kendisi tarafından kullanılan değerlerdir SSLSocketFactory.getDefault(). (Varsayılan değerleri ve belirli SSLContextbir amacı belirli bir amaç için kullanmak istemiyorsanız, bunların tümü API aracılığıyla birkaç yerde özelleştirilebilir .)

Arasındaki fark KeyManager ile TrustManager(ve dolayısıyla arasında javax.net.ssl.keyStoreve javax.net.ssl.trustStore(alıntı) aşağıdaki gibi olan JSSE ref kılavuz ):

TrustManager: Uzaktan kimlik doğrulama bilgilerine (ve dolayısıyla bağlantıya) güvenilip güvenilmeyeceğini belirler.

KeyManager: Uzak ana bilgisayara hangi kimlik doğrulama bilgilerinin gönderileceğini belirler.

(Diğer parametreler mevcuttur ve varsayılan değerleri JSSE başvuru kılavuzunda açıklanmıştır . Güven deposu için varsayılan bir değer olsa da, anahtar deposu için bir tane olmadığını unutmayın.)

Temelde, anahtar deposunun javax.net.ssl.keyStoreözel anahtarlarınızı ve sertifikalarınızı javax.net.ssl.trustStoreiçermesi, uzak bir tarafın sertifikasını sunması durumunda güvenmek istediğiniz CA sertifikalarını içermesi amaçlanmıştır. Bazı durumlarda, bir ve aynı mağaza olabilirler, ancak farklı mağazalar kullanmak özellikle daha iyi bir uygulamadır (özellikle dosya tabanlı olduklarında).

Ortak kullanım / amaç veya layman yöntemiyle açıklamak için:

truststore : Adından da anlaşılacağı gibi, normalde güvenilen varlıkların sertifikalarını saklamak için kullanılır. Bir süreç, güvendiği tüm güvenilir taraflarının sertifika deposunu saklayabilir.

keyStore : Sunucu anahtarlarını (hem genel hem de özel) imzalı sertifika ile birlikte saklamak için kullanılır.

SSL anlaşması sırasında,

1. Bir istemci https: // adresine erişmeye çalışır

2. Ve böylece, Sunucu bir SSL sertifikası (keyStore'da depolanır) sağlayarak yanıt verir

3. Şimdi, istemci SSL sertifikasını alır ve trustStore aracılığıyla doğrular (yani, müşterinin trustStore'u zaten güvendiği önceden tanımlanmış sertifika kümesine sahiptir.) Bunun gibi: Bu sunucuya güvenebilir miyim? Bu, konuşmaya çalıştığım sunucuyla aynı mı? Orta adam saldırısı yok mu?

4. İstemci, güvendiği sunucu ile konuştuğunu doğrularsa, paylaşılan bir gizli anahtar üzerinden SSL iletişimi gerçekleşebilir.

Not: Burada sunucu tarafında istemci kimlik doğrulaması hakkında hiçbir şey konuşmuyorum. Bir sunucu da istemci kimlik doğrulaması yapmak istiyorsa, sunucu aynı zamanda istemciyi doğrulamak için bir trustStore tutar.

Anahtar deposu ve güven deposu dosyaları arasında fark yoktur. Her ikisi de tescilli JKS dosya biçimindeki dosyalardır. Ayrım kullanımda: Bildiğim kadarıyla Java, -Djavax.net.ssl.trustStoreSSL bağlantıları oluştururken güvenilecek sertifikaları aramak için yalnızca sistem özelliği tarafından başvurulan mağazayı kullanacaktır . Ve tuşları için aynı -Djavax.net.ssl.keyStore. Ancak teoride, bir ve aynı dosyayı güven ve anahtar depoları için kullanmak iyidir.

Anahtar deposu, özel anahtarları saklamak için bir sunucu tarafından kullanılır ve Truststore, üçüncü taraf istemci tarafından, sunucunun erişmesi için sağlanan genel anahtarları saklamak için kullanılır. Bunu üretim uygulamamda yaptım. SSL iletişimi için java sertifikaları oluşturma adımları aşağıdadır:

1. Windows'ta keygen komutunu kullanarak sertifika oluşturun:

keytool -genkey -keystore server.keystore -alias mycert -keyalg RSA -keysize 2048 -validity 3950

2. Sertifikayı kendiniz onaylayın:

keytool -selfcert -alias mycert -keystore server.keystore -validity 3950

3. Sertifikayı klasöre aktar:

keytool -export -alias mycert -keystore server.keystore -rfc -file mycert.cer

4. Sertifikayı istemci Truststore'a aktar:

keytool -importcert -alias mycert -file mycert.cer -keystore truststore

Bunlar, Keytool'u kullanarak yerel makinenizde bir Truststore oluşturma adımlarıdır. Yerel makinenizde bir URL için güven deposu oluşturma adımları.

1) Chrome'da tarayıcıdaki URL'ye basın

2) "i" olup olmadığını kontrol edin Kromdaki URL'nin solundaki simgesini ve tıklayın

3) Sertifika seçeneğini kontrol edin ve tıklayın; bir İletişim Kutusu açılacaktır

4) güven deposunu oluşturmak için kullanılabilecek sertifika sayısı için "sertifika yolu" sekmesini kontrol edin

5) "details" tab -> click"Copy to File" -> Give the path and the name for the certificateoluşturmak istediğiniz gidin .

6) Ana sertifika olup olmadığını kontrol edin ve "5" noktasını takip edin .

7) Tüm sertifikalar oluşturulduktan sonra Komut İstemi'ni açın ve sertifikaları oluşturduğunuz yola gidin.

8) sertifikaları eklemek ve bir güven deposu oluşturmak için aşağıdaki Keytool komutunu verin.

Sample: 
   keytool -import -alias abcdefg -file abcdefg.cer -keystore cacerts
        where "abcdefg" is the alias name and "abcdefg.cer" is the actual certificate name and "cacerts" is the truststore name

9) Tüm sertifikalar için keytool komutunu sağlayın ve bunları güven deposuna ekleyin.

    keytool -list -v -keystore cacerts

anahtar deposu sadece özel anahtarları depolar, wheras truststore genel anahtarları saklar. SSL iletişimi için bir java sertifikası oluşturmak isteyeceksiniz. Windows'da bir keygen komutu kullanabilirsiniz, bu muhtemelen en kolay çözüm olacaktır.

En basit ifadeyle:

Anahtar deposu, kimlik bilgilerinizi (sunucu veya istemci) saklamak için kullanılırken truststore , diğer kimlik bilgilerini (CA'dan gelen sertifikalar) saklamak için kullanılır.

SSL'de sunucu tarafı kurarken anahtar deposu gerekir, sunucunun kimlik sertifikasını depolamak için kullanılır; bu, bağlantının çalışması için istemci tarafında güven deposu kurulumunun içermesi gerekirken, hangi sunucu bağlantıda bir istemciye sunulacaktır. SSL üzerinden herhangi bir web sitesine bağlanmak için tarayıcınız, sunucu tarafından truststore'a karşı sunulan sertifikayı doğrular.