Vérifier le certificat Java magasin de certificats via l'interface CLI

Comment puis-je vérifier un X509 (ou DER-formaté) certificat de contre la Java magasin de certificats via la ligne de commande?

J'ai regardé dans l'aide de la keytool utilitaire, mais il semble qu'il ne gère que l'importation/exportation/fonctionnalité d'affichage (pas de vérification).

EDIT: Il semble que si keytool peut être utilisé à des fins de vérification, mais seulement si l'importation est tentée. Je suppose que la meilleure façon de poser cette questions est de savoir si ou non une approche plus passive (comme: ne modifiez pas le fichier de clés) est disponible. Merci!

InformationsquelleAutor Brian | 2009-01-12
  1. 2

    Cette page pourrait se simplifier à l'extrême:

    http://java.sun.com/docs/books/tutorial/security/toolfilex/rstep1.html

    Mais il ne ressemble pas à même d'importer avec keytool ne un vrai de la vérification d'un certificat. Je ne vois aucune description de la vérification de la signature du certificat entrant à l'encontre de la signature d'un autre certificat de confiance.

    jarsigner va vérifier une signature sur un signé pot, mais ne fait rien pour vérifier la signature sur le certificat utilisé pour signer le pot.

    Je suis peur que vous me devez écrire un outil pour faire la vérification, ou de chercher un outil commercial qui fait. Je pense que certains de la PKI outil de kits aurait un certificat de vérification de l'outil pour ce faire.

    • Je pense que vous avez raison, Keytool ne supportent pas de ce que je suis en train de faire. Nous avons fini par opter pour rendre notre propre util, surtout depuis Keytool n'est pas signé, et nous voulons être en mesure de vérifier l'exécutable avant de l'exécuter.
    InformationsquelleAutor bethlakshmi
  2. 13

    Vous pouvez utiliser keytool à export les certificats nécessaires (ceux qui sont dans la chaîne pour l'une, vous devez vérifier) à partir du keystore Java dans X. 509 fichiers. Ensuite, les concaténer en un seul fichier. Enfin, l'utilisation openssl faire la vérification.

    openssl verify -CAfile concatenated-certs.crt cert-to-verify.crt

    Pas une solution parfaite, car il consiste à éclater les certs de la truststore, mais il faut travailler compte tenu de ce que vous commencez avec.

    • Cela a fonctionné pour moi, mais note que openssl veut au format PEM certs et pas DER (qui est ce que keytool semble utiliser par défaut)
    InformationsquelleAutor havanki4j