将PEM导入Java密钥库

Question

我试图连接到一个需要身份验证的SSL服务器。为了在Apache MINA上使用SSL，我需要一个合适的JKS文件。然而，我只收到了一个.PEM文件。

我该如何从PEM文件创建JKS文件？

- jwoolard

---

也许这个链接会有帮助：http://www.agentbob.info/agentbob/79-AB.html - Laurent K

Answer 1

首先，将您的证书转换为DER格式：

openssl x509 -outform der -in certificate.pem -out certificate.der

然后，在密钥库中导入它：

keytool -import -alias your-alias -keystore cacerts -file certificate.der

- Anthony O.

---

如果.pem文件包含多个证书，该方法将无法正常工作。 - MarioVilas

我有一个.pem格式的单一证书，但它无法使用。1795错误：0906D06C：PEM例程：PEM_read_bio：没有起始行：/usr/src/secure/lib/libcrypto/../../../crypto/openssl/crypto/pem/pem_lib.c:648：期望：可信证书。 - Brian Knoblauch

我找到了解决方案。在 .pem 文件中预置根证书和中间证书，然后进行转换。 - Brian Knoblauch

@Anthony 这个命令只是告诉如何将 PEM 导入到 JKS 中。也许添加一个从存储中导出 JKS 的命令会是个好主意。 - Vishal Biyani

如果我在.pem文件中有多个证书，如何将它们导入到Java密钥库中？ - Erick

Answer 2

如果您只想将PEM格式的证书导入到密钥库中，keytool可以完成此任务：

keytool -import -alias *alias* -keystore cacerts -file *cert.pem*

- Zap

---

我若这样做就会出现错误：keytool 错误：java.lang.Exception: 输入不是 X.509 证书。 - frandevel

@frandevel，这个错误可能是由于PEM输入文件在--- BEGIN分隔符上方有标题或在一个文件中有多个PEM引起的，或者两者都有。要么删除所有多余数据并逐个输入每个PEM，要么使用我的工具，详见我的答案。 - Alastair McCormack

同样的问题，而且 .PEM 文件是干净的，具有所有适当的头信息。 - Brian Knoblauch

它有效。首先，我使用此 https://serverfault.com/a/254630 将我的 .cer 转换为 .pem，然后按照此答案直接导入。 - JRichardsz

Answer 3

如果您需要在Java中轻松加载PEM文件，而无需处理外部工具（如opensll、keytool），这里是我在生产中使用的代码：

如果您需要在Java中轻松加载PEM文件，而不必处理外部工具（例如opensll、keytool），这里是我在生产中使用的代码：

import java.io.BufferedReader;
import java.io.ByteArrayInputStream;
import java.io.File;
import java.io.FileReader;
import java.io.IOException;
import java.security.KeyFactory;
import java.security.KeyStore;
import java.security.KeyStoreException;
import java.security.NoSuchAlgorithmException;
import java.security.PrivateKey;
import java.security.cert.CertificateException;
import java.security.cert.CertificateFactory;
import java.security.cert.X509Certificate;
import java.security.interfaces.RSAPrivateKey;
import java.security.spec.InvalidKeySpecException;
import java.security.spec.PKCS8EncodedKeySpec;
import java.util.ArrayList;
import java.util.List;

import javax.net.ssl.KeyManager;
import javax.net.ssl.KeyManagerFactory;
import javax.net.ssl.SSLContext;
import javax.net.ssl.SSLServerSocketFactory;
import javax.xml.bind.DatatypeConverter;

public class PEMImporter {

    public static SSLServerSocketFactory createSSLFactory(File privateKeyPem, File certificatePem, String password) throws Exception {
        final SSLContext context = SSLContext.getInstance("TLS");
        final KeyStore keystore = createKeyStore(privateKeyPem, certificatePem, password);
        final KeyManagerFactory kmf = KeyManagerFactory.getInstance("SunX509");
        kmf.init(keystore, password.toCharArray());
        final KeyManager[] km = kmf.getKeyManagers();
        context.init(km, null, null);
        return context.getServerSocketFactory();
    }

    /**
     * Create a KeyStore from standard PEM files
     * 
     * @param privateKeyPem the private key PEM file
     * @param certificatePem the certificate(s) PEM file
     * @param the password to set to protect the private key
     */
    public static KeyStore createKeyStore(File privateKeyPem, File certificatePem, final String password)
            throws Exception, KeyStoreException, IOException, NoSuchAlgorithmException, CertificateException {
        final X509Certificate[] cert = createCertificates(certificatePem);
        final KeyStore keystore = KeyStore.getInstance("JKS");
        keystore.load(null);
        // Import private key
        final PrivateKey key = createPrivateKey(privateKeyPem);
        keystore.setKeyEntry(privateKeyPem.getName(), key, password.toCharArray(), cert);
        return keystore;
    }

    private static PrivateKey createPrivateKey(File privateKeyPem) throws Exception {
        final BufferedReader r = new BufferedReader(new FileReader(privateKeyPem));
        String s = r.readLine();
        if (s == null || !s.contains("BEGIN PRIVATE KEY")) {
            r.close();
            throw new IllegalArgumentException("No PRIVATE KEY found");
        }
        final StringBuilder b = new StringBuilder();
        s = "";
        while (s != null) {
            if (s.contains("END PRIVATE KEY")) {
                break;
            }
            b.append(s);
            s = r.readLine();
        }
        r.close();
        final String hexString = b.toString();
        final byte[] bytes = DatatypeConverter.parseBase64Binary(hexString);
        return generatePrivateKeyFromDER(bytes);
    }

    private static X509Certificate[] createCertificates(File certificatePem) throws Exception {
        final List<X509Certificate> result = new ArrayList<X509Certificate>();
        final BufferedReader r = new BufferedReader(new FileReader(certificatePem));
        String s = r.readLine();
        if (s == null || !s.contains("BEGIN CERTIFICATE")) {
            r.close();
            throw new IllegalArgumentException("No CERTIFICATE found");
        }
        StringBuilder b = new StringBuilder();
        while (s != null) {
            if (s.contains("END CERTIFICATE")) {
                String hexString = b.toString();
                final byte[] bytes = DatatypeConverter.parseBase64Binary(hexString);
                X509Certificate cert = generateCertificateFromDER(bytes);
                result.add(cert);
                b = new StringBuilder();
            } else {
                if (!s.startsWith("----")) {
                    b.append(s);
                }
            }
            s = r.readLine();
        }
        r.close();

        return result.toArray(new X509Certificate[result.size()]);
    }

    private static RSAPrivateKey generatePrivateKeyFromDER(byte[] keyBytes) throws InvalidKeySpecException, NoSuchAlgorithmException {
        final PKCS8EncodedKeySpec spec = new PKCS8EncodedKeySpec(keyBytes);
        final KeyFactory factory = KeyFactory.getInstance("RSA");
        return (RSAPrivateKey) factory.generatePrivate(spec);
    }

    private static X509Certificate generateCertificateFromDER(byte[] certBytes) throws CertificateException {
        final CertificateFactory factory = CertificateFactory.getInstance("X.509");
        return (X509Certificate) factory.generateCertificate(new ByteArrayInputStream(certBytes));
    }

}

玩得愉快。

- BluEOS

---

这个问题是关于“在Apache MINA上使用SSL”的，使用提供的“从PEMs函数获取SSLServerSocketFactory”更容易配置，详见https://mina.apache.org/mina-project/userguide/ch11-ssl-filter/ch11-ssl-filter.html。 - BluEOS

我尝试使用上述方法加载PEM文件（cert.pem和key.pem），但在尝试连接时出现了错误消息。连接示例：javax.net.ssl.SSLHandshakeException：sun.security.validator.ValidatorException：PKIX路径构建失败：sun.security.provider.certpath.SunCertPathBuilderException：无法找到所请求目标的有效认证路径。 - ugendrang

当使用自签名证书或中间证书丢失时，经常会出现“无法找到请求目标的有效认证路径”的错误。 - BluEOS

这对我来说完美无缺。我的使用情况是生成一个.jks文件，所以我没有创建socketFactory，而是直接执行了keyStore.store(stream, password)。 - PhoenixPerson

太棒了，谢谢！在使用Java 11或Android时确实需要进行一些更改；我已经在这里添加了一个答案，其中包含了这些细节。 - CodeClown42

Answer 4

我开发了一个名为https://github.com/alastairmccormack/keyutil的工具，它可以直接将PEM证书导入Java密钥库。它的主要目的是导入多部分的PEM操作系统证书捆绑包，例如ca-bundle.crt。这些捆绑包通常包含keytool无法处理的头部信息。

- Alastair McCormack

---

这个玩具项目不错，但 keytool 已经为你完成了这一切（而且还有更多功能）。 （顺便说一句，如果出现异常，你应该关闭你的 FileOutputStream 并在 finally 中关闭你的 I/O 流。） - Bruno

你好 Bruno，感谢你的建议。真正的用例是一次性导入RHEL/CentOS系统中 /etc/pki/tls/certs/ca-bundle.crt 的所有条目。据我所知，keytool 只会导入第一个条目。我看到很多人做这个过程的方法都不同，但通常涉及为每个证书单独调用 keytool 多次。Ubuntu 有一个更新脚本可以完全做到这一点，只是 Ubuntu 将其证书存储在一个目录中。我将在不久的将来添加对目录的支持。再次感谢您审查代码。 - Alastair McCormack

Answer 5

在我的情况下，我有一个pem文件，其中包含两个证书和加密的私钥，用于进行双向SSL身份验证。

因此，我的pem文件看起来像这样：

-----BEGIN CERTIFICATE-----

...

-----END CERTIFICATE-----

-----BEGIN RSA PRIVATE KEY-----

Proc-Type: 4,ENCRYPTED

DEK-Info: DES-EDE3-CBC,C8BF220FC76AA5F9

...

-----END RSA PRIVATE KEY-----

-----BEGIN CERTIFICATE-----

...

-----END CERTIFICATE-----

我所做的步骤

将文件拆分成三个独立的文件，每个文件只包含一个条目，从 ---BEGIN.. 开始到 ---END.. 结束。假设我们现在有三个文件：cert1.pem、cert2.pem 和 pkey.pem。

使用openssl以以下语法将pkey.pem转换为DER格式：

openssl pkcs8 -topk8 -nocrypt -in pkey.pem -inform PEM -out pkey.der -outform DER

请注意，如果私钥已加密，则需要提供密码（从原始pem文件的供应商处获取）才能将其转换为DER格式，openssl 将像这样要求您输入密码："enter a passphrase for pkey.pem: "。

如果转换成功，您将得到一个名为pkey.der的新文件。

创建一个新的Java密钥库并导入私钥和证书：

String keypass = "password";  // this is a new password, you need to come up with to protect your java key store file
String defaultalias = "importkey";
KeyStore ks = KeyStore.getInstance("JKS", "SUN");

// this section does not make much sense to me, 
// but I will leave it intact as this is how it was in the original example I found on internet:   
ks.load( null, keypass.toCharArray());
ks.store( new FileOutputStream ( "mykeystore"  ), keypass.toCharArray());
ks.load( new FileInputStream ( "mykeystore" ),    keypass.toCharArray());
// end of section..


// read the key file from disk and create a PrivateKey

FileInputStream fis = new FileInputStream("pkey.der");
DataInputStream dis = new DataInputStream(fis);
byte[] bytes = new byte[dis.available()];
dis.readFully(bytes);
ByteArrayInputStream bais = new ByteArrayInputStream(bytes);

byte[] key = new byte[bais.available()];
KeyFactory kf = KeyFactory.getInstance("RSA");
bais.read(key, 0, bais.available());
bais.close();

PKCS8EncodedKeySpec keysp = new PKCS8EncodedKeySpec ( key );
PrivateKey ff = kf.generatePrivate (keysp);


// read the certificates from the files and load them into the key store:

Collection  col_crt1 = CertificateFactory.getInstance("X509").generateCertificates(new FileInputStream("cert1.pem"));
Collection  col_crt2 = CertificateFactory.getInstance("X509").generateCertificates(new FileInputStream("cert2.pem"));

Certificate crt1 = (Certificate) col_crt1.iterator().next();
Certificate crt2 = (Certificate) col_crt2.iterator().next();
Certificate[] chain = new Certificate[] { crt1, crt2 };

String alias1 = ((X509Certificate) crt1).getSubjectX500Principal().getName();
String alias2 = ((X509Certificate) crt2).getSubjectX500Principal().getName();

ks.setCertificateEntry(alias1, crt1);
ks.setCertificateEntry(alias2, crt2);

// store the private key
ks.setKeyEntry(defaultalias, ff, keypass.toCharArray(), chain );

// save the key store to a file         
ks.store(new FileOutputStream ( "mykeystore" ),keypass.toCharArray());

（可选）验证您的新密钥库内容：

$ keytool -list -keystore mykeystore -storepass password

密钥库类型: JKS 密钥库提供者: SUN

您的密钥库包含3个条目:

• cn=...,ou=...,o=.., 2014年9月2日, trustedCertEntry, 证书指纹(SHA1): 2C:B8: ...

• importkey, 2014年9月2日, PrivateKeyEntry, 证书指纹(SHA1): 9C:B0: ...

• cn=...,o=...., 2014年9月2日, trustedCertEntry, 证书指纹(SHA1): 83:63: ...

(可选) 使用新密钥库中的证书和私钥测试 SSL 服务器: ( 您可能需要将调试选项作为 VM 选项启用: -Djavax.net.debug=all )

        char[] passw = "password".toCharArray();
        KeyStore ks = KeyStore.getInstance("JKS", "SUN");
        ks.load(new FileInputStream ( "mykeystore" ), passw );

        KeyManagerFactory kmf = KeyManagerFactory.getInstance("SunX509");
        kmf.init(ks, passw);

        TrustManagerFactory tmf = TrustManagerFactory.getInstance(TrustManagerFactory.getDefaultAlgorithm());
        tmf.init(ks);
        TrustManager[] tm = tmf.getTrustManagers();

        SSLContext sclx = SSLContext.getInstance("TLS");
        sclx.init( kmf.getKeyManagers(), tm, null);

        SSLSocketFactory factory = sclx.getSocketFactory();
        SSLSocket socket = (SSLSocket) factory.createSocket( "192.168.1.111", 443 );
        socket.startHandshake();

        //if no exceptions are thrown in the startHandshake method, then everything is fine..

如果您打算使用HttpsURLConnection，请最后向其注册证书：

        char[] passw = "password".toCharArray();
        KeyStore ks = KeyStore.getInstance("JKS", "SUN");
        ks.load(new FileInputStream ( "mykeystore" ), passw );

        KeyManagerFactory kmf = KeyManagerFactory.getInstance("SunX509");
        kmf.init(ks, passw);

        TrustManagerFactory tmf = TrustManagerFactory.getInstance(TrustManagerFactory.getDefaultAlgorithm());
        tmf.init(ks);
        TrustManager[] tm = tmf.getTrustManagers();

        SSLContext sclx = SSLContext.getInstance("TLS");
        sclx.init( kmf.getKeyManagers(), tm, null);

        HostnameVerifier hv = new HostnameVerifier()
        {
            public boolean verify(String urlHostName, SSLSession session)
            {
                if (!urlHostName.equalsIgnoreCase(session.getPeerHost()))
                {
                    System.out.println("Warning: URL host '" + urlHostName + "' is different to SSLSession host '" + session.getPeerHost() + "'.");
                }
                return true;
            }
        };

        HttpsURLConnection.setDefaultSSLSocketFactory( sclx.getSocketFactory() );
        HttpsURLConnection.setDefaultHostnameVerifier(hv);

- Interkot

---

您的主机名验证器有误，session.getPeerHost() 不会返回证书中的名称，而是返回您连接的名称（即此处的 urlHostName），因此这始终为真。无论如何，您总是返回 true。 - Bruno

Answer 6

我使用了Keystore Explorer

1. 使用私钥打开JKS文件
2. 查看来自CA的签名PEM文件
3. 导入密钥
4. 保存JKS文件

- Leos Literak

---

Keystore Explorer非常强大且多功能。使用它可以节省很多通过终端进行的无意义操作所耗费的时间。 - TheRealChx101

Answer 7

我总是忘记如何做这件事，因为它只是偶尔需要的东西。下面是一种可能的解决方案，并且它很有效：

1. Go to your favourite browser and download the main certificate from the secured website.

2. Execute the two following lines of code:

   $ openssl x509 -outform der -in GlobalSignRootCA.crt -out GlobalSignRootCA.der
   $ keytool -import -alias GlobalSignRootCA -keystore GlobalSignRootCA.jks -file GlobalSignRootCA.der
   

3. If executing in Java SE environment add the following options:

   $ java -Djavax.net.ssl.trustStore=GlobalSignRootCA.jks -Djavax.net.ssl.trustStorePassword=trustStorePassword -jar MyJar.jar
   

4. Or add the following to the java code:

   System.setProperty("javax.net.ssl.trustStore", "GlobalSignRootCA.jks");
   System.setProperty("javax.net.ssl.trustStorePassword","trustStorePassword");
   

第二步的另一种选择是只使用keytool命令。下面是一个带有证书链的示例：

$ keytool -import -file org.eu.crt -alias orgcrt -keystore globalsignrs.jks
$ keytool -import -file GlobalSignOrganizationValidationCA-SHA256-G2.crt -alias globalsignorgvalca -keystore globalsignrs.jks
$ keytool -import -file GlobalSignRootCA.crt -alias globalsignrootca -keystore globalsignrs.jks

- Marco

Answer 8

还有一个图形化工具，可以可视化地创建JKS和导入证书。

http://portecle.sourceforge.net/

Portecle是一个用户友好的GUI应用程序，用于创建、管理和检查密钥库、密钥、证书、证书请求、证书吊销列表等等。

- Vadzim

---

密钥库浏览器是Portecle的现代版本。它们的菜单和功能完全相同，没有任何区别。 - Setmax

Answer 9

现在，OpenJDK的keytool可以本地处理PEM证书了（已经有几个版本支持了，但我不确定是从哪个版本开始的）。

keytool建议不像其他密钥库一样指定cacerts文件路径，而是使用-cacerts选项。

因此，在OpenJDK 18（可能还有许多早期版本）中可用的命令行是：

keytool -cacerts -import -alias <alias> -file <path_to_cert.pem>

- Valentin

Answer 10

我从互联网上得到了它。对于包含多个条目的pem文件，它的效果非常好。

#!/bin/bash
pemToJks()
{
        # number of certs in the PEM file
        pemCerts=$1
        certPass=$2
        newCert=$(basename "$pemCerts")
        newCert="${newCert%%.*}"
        newCert="${newCert}"".JKS"
        ##echo $newCert $pemCerts $certPass
        CERTS=$(grep 'END CERTIFICATE' $pemCerts| wc -l)
        echo $CERTS
        # For every cert in the PEM file, extract it and import into the JKS keystore
        # awk command: step 1, if line is in the desired cert, print the line
        #              step 2, increment counter when last line of cert is found
        for N in $(seq 0 $(($CERTS - 1))); do
          ALIAS="${pemCerts%.*}-$N"
          cat $pemCerts |
                awk "n==$N { print }; /END CERTIFICATE/ { n++ }" |
                $KEYTOOLCMD -noprompt -import -trustcacerts \
                                -alias $ALIAS -keystore $newCert -storepass $certPass
        done
}
pemToJks <pem to import> <pass for new jks>

- John Smith

---

感谢提供脚本。需要分配KEYTOOLCMD（即：export KEYTOOLCMD=$(which keytool); echo $KEYTOOLCMD）。此外，您可以使用以下命令检查生成的密钥库：keytool --list --keystore <yourfile.JKS>。请注意，该脚本使用大写JDK作为扩展名创建文件。 - Michael Behrens