Convertir CA-signé JKS fichier de clés à PEM

Un assez gros problème que je rencontre fréquemment, c'est que, lors de la génération de la RSE pour obtenir notre certificat, le fichier de clés (Soleil formaté jks keystore) n'est pas sortie de la .clé ou de fournir toute facilité pour obtenir les .clé. J'ai donc toujours eu fini avec un .pem/.crt avec aucun moyen de l'utiliser avec Apache2, qui ne peut pas lire un JKS keystore comme Tomcat peut, mais exige plutôt un non emballés .touche + .pem/.crt paire.

Pour commencer, obtenir une “copie” de votre fichier de clés existant et passez directement à la 5ème commande ci-dessous, ou de créer votre propre comme ceci:

C:\Temp>keytool -genkey -alias tomcat -keyalg RSA -keystore
 keystore.jks -keysize 2048 -validity 730 -storepass changeit

Puis, éventuellement, de créer un programme de 2 ans de la RSE et de l'importer ensuite la RSE réponse, dans les 3 prochaines étapes:

C:\Temp>keytool -certreq -alias mydomain -keystore keystore.jks
 -file mydomain.csr
C:\Temp>keytool -import -trustcacerts -alias root -file
 RootPack.crt -keystore keystore.jks -storepass changeit
C:\Temp>keytool -import -trustcacerts -alias tomcat -file mydomain.response.crt
 -keystore keystore.jks -storepass changeit

Pour obtenir ce travail, et si vous avez déjà votre JKS fichier de magasin de clés que vous utilisez un serveur d'application Tomcat, suivez les étapes suivantes:

Tout d'abord, obtenir la DER (binaire) mis en forme de certificat dans un fichier appelé “exportés en-der.crt”:

C:\Temp>keytool -export -alias tomcat -keystore keystore.jks -file
 exported-der.crt

Puis, view & vérifier:

C:\Temp>openssl x509 -noout -text -in exported-der.crt -inform der

Maintenant, vous voulez convertir au format PEM, qui est plus largement utilisé dans des applications telles que Apache et par OpenSSL pour faire le PKCS12 de conversion:

C:\Temp>openssl x509 -in exported-der.crt -out exported-pem.crt 
-outform pem -inform der

Ensuite, télécharger et utiliser ExportPriv pour obtenir le non chiffrée de la clé privée à partir de votre fichier de clés:

C:\Temp>java ExportPriv <keystore> <alias> <password> > exported-pkcs8.key

Maintenant vous avez probablement vous rendre compte, la clé privée est exporté en tant que fichier PKCS#8 format PEM. Le RSA format qui fonctionne avec Apache (PKCS#12??) vous pouvez émettre la commande suivante:

C:\Temp>openssl pkcs8 -inform PEM -nocrypt -in exported-pkcs8.key
 -out exported-pem.key

OriginalL'auteur djangofan

Je ne suis pas sûr qu'il est possible d'extraire la chaîne de keytool mais il peut être fait avec un petit programme Java:

public void extract(KeyStore ks, String alias, char[] password, File dstdir) throws Exception
{
    KeyStore.PasswordProtection pwd = new KeyStore.PasswordProtection(password);
    KeyStore.PrivateKeyEntry entry = (KeyStore.PasswordKeyEntry)ks.getEntry(alias, pwd);
    Certificate[] chain = entry.getCertificateChain();
    for (int i = 0; i < chain.length; i++) {
        Certificate c = chain[i];
        FileOutputStream out = new FileOutputStream(new File(dstdir, String.format("%s.%d.crt", alias, i)));
        out.write(c.getEncoded());
        out.close();
    }
}

Ce code doit écrire tous les certificats de la chaîne de format DER dans le répertoire.

OriginalL'auteur Jcs