如何将信任证书从.jks格式转换为.pem格式

Question

我有一个Java SSL服务器，我希望我的Java SSL客户端和c++ SSL客户端能够连接到它。Java客户机连接没有问题。现在我想让我的c++ SSL客户端能够连接。因此，出于这个目的，我想要导出serverpub。jks到.pem文件，以便我的c++客户端可以将其加载到其ssl上下文中。但这行不通。

下面是我如何为Java客户端和服务器创建jks密钥存储库的描述，然后我如何尝试导出serverpub。JKS到。pem文件

步骤1:生成客户端和服务器密钥库

c:keytool -genkeypair -alias myserverkeys -keyalg RSA -dname "CN=my Server,OU=kl2217,O=kl2217org,L=NYC,ST=NY,C=US" -keypass password -keystore server.jks -storepass password
c:keytool -genkeypair -alias myclientkeys -keyalg RSA -dname "CN=my Client,OU=kl2217,O=kl2217org,L=NYC,ST=NY,C=US" -keypass password -keystore myclient.jks -storepass password

步骤2:导出服务器公共证书并创建单独的密钥库

c:keytool -exportcert -alias myserverkeys -file serverpub.cer -keystore myserver.jks -storepass spacex
c:keytool -importcert -keystore serverpub.jks -alias serverpub -file serverpub.cer -storepass password

步骤3:导出客户端公共证书并创建单独的密钥库

c:keytool -exportcert -alias myclientkeys -file clientpub.cer -keystore myclient.jks -storepass spacey
c:keytool -importcert -keystore clientpub.jks -alias clientpub -file clientpub.cer -storepass password

一切顺利。

现在我遇到问题了。

步骤4:转换serverpub。JKS到。pem格式

c:keytool -importkeystore -srckeystore serverpub.jks -destkeystore serverpub.p12 -srcstoretype jks -deststoretype pkcs12

和回复

Enter destination keystore password:
Re-enter new password:
Enter source keystore password:
Problem importing entry for alias serverpub: java.security.KeyStoreException: TrustedCertEntry not supported.
Entry for alias serverpub not imported.
Do you want to quit the import process? [no]:

这是什么意思?我做错了什么?

步骤5:本来是

c:openssl pkcs12 -in serverpub.p12 -out serverpub.pem

但是正如你所看到的，我做不到。

如果你能帮助我了解如何正确地做这件事，我将非常感激。

谢谢

Answer 1

不幸的是，keytool明确地不允许您从信任存储区导出，因为他们认为PEM文件不支持可信证书的概念。因此，我将使用cer文件的密钥存储库。

• From a cer:

  openssl x509 -inform der -in serverpub.cer -out serverpub.pem
  

• 来自密钥库:

  keytool -importkeystore -srckeystore server.jks -destkeystore server.p12 -deststoretype PKCS12
  openssl pkcs12 -in server.p12 -nokeys -out server.cer.pem
  openssl pkcs12 -in server.p12 -nodes -nocerts -out server.key.pem
  

或者直接试试

keytool -exportcert -alias myserverkeys -keystore serverpub.jks -rfc -file serverpub.pem

Answer 2

下面的简单单行命令将把证书导出为PEM格式。是的，您需要openssl，单独的keytool不能做到这一点。

keytool -exportcert -alias <CERT-ALIAS> -keystore <KEYSTORE-FILE> | openssl x509 -inform DER >cert.pem