初级java工程师证书（Java证书工具Keytool的使用）

一、简介

Keytool是JDK自带的证书管理工具，在jdk/bin目录下，可以用来生成自签名证书、导入导出证书、打印证书信息等。

回顾下前一章的一些概念：

PKI：公钥基础设施

X.509：PKI事实上的标准

CSR：向CA申请证书的签名请求文件，用ASN.1标准描述

证书链：证书之间的上下级信任关系

根证书：证书链的最顶层

DER：证书二进制格式

BER：DER的一个子集

CER：一般用于windows的证书文件格式

CRT：一般用于Linux的证书，包含公钥和主体信息

pem：Base64编码的DER证书

p12：证书交换格式，把证书和密钥（公钥+私钥）打包在一起，可以再加一层保护（.pkcs12.pfx.p12）

JKS：Java支持的证书格式。

BKS：安卓无法直接支持JKS，使用的是BKS类型证书。

Keystore：Keytool将密钥和证书存在一个称为keystore的文件中，包含密钥实体和可信任的证书实体。

二、Java证书工具Keytool的使用

2.1生成自签名证书.jks

创建一个名为myjks的证书，存放在的密钥库中。

keytool-genkeypair-aliasmyjks-keysize2048-keyalgRSA-validity3650-keystore-storetypeJKS

-genkeypair:生成公私钥对条目，私钥不可见，公钥会以证书格式保存在keystore中。

-alias:指定别名，区分不同条目，默认mykey，每个keystore关联一个alias

-keysize:密钥长度

-keyalg:公私钥算法

-validity:证书过期时间

-keystore:指定存储密钥的位置，不指定的话会生成到用户目录

-storetype:密钥库类型JKSPKCS等

实际使用时名称与姓氏填域名信息；

先输入的是keystore密钥库的口令。

2.2导出自签名证书

keytool-export-aliasmyjks-keystore-file

这个证书就可以分发给客户端使用。

2.2查看证书信息

keytool-list-v-keystore

2.3显示证书内容

keytool-list-rfc-keystore-storepass

2.4导出cer证书

keytool-aliasmyjks-exportcert-keystore-file

双击证书，可以查看cer内容，点安装证书就可以导入根证书。

2.5导出公钥

keytool-list-rfc--keystore|opensslx509-informpem-pubkey

三、生成一个根证书来签发二级证书

3.1生成证书签名请求文件CSR

keytool-certreq-aliasmyjks-keystore-file

3.2使用自签名证书作为CA根证书，模拟CA给CSR签发证书

生成模拟CA的密钥对

keytool-genkeypair-aliasrootca-keysize2048-keyalgRSA-validity3650-keystore-storetypeJKS

用CA的私钥签名后与myjks的公钥生成一个证书:

keytool-gencert-aliasrootca-keystore-infile-outfileteststore_

可以看到teststore_的签发人已经变了：

3.3将二级证书导回teststore库中

keytool-import-v-aliasrootca-fileteststore_-keystore

这时证书链会发生变化：

这时可以把root证书导出给客户端内置，服务端绑定二级证书，这样客户端验证时可以用根证书验证二级证书。大部分程序直接使用一级的自签名证书即可，但若需要双向验证，服务端验证客户端时不同客户端最好使用服务端的rootca私钥来签发，这样服务端可以直接用一个rootca的证书验证。实现了动态扩展且客户端的证书不同。

3.4从teststore导出rootca证书

keytool-export-aliasrootca-keystore-file

四、Keytool其它常用命令

//以rfc模式打印，即base64可见字符，与pem编码格式一样。-v为详细输出keytool-printcert-rfc-file//删除密钥库中的条目keytool-delete-aliasrootca-keystore//修改证书库密码,输入旧密码或加参数-storepasskeytool-storepasswd-new-keystoretruststore//修改某条目密码keytool-keypasswd-aliasmyCA-keypass-newnewpass-storepass-keystoremyCALib

关于初级java工程师证书和程序员必备工具Java证书工具Keytool的使用的主要内容已完结！