ट्रस्ट स्टोर बनाम कुंजी स्टोर - कीटोल

Question

के साथ बनाना मैं समझता हूं कि कीस्टोर आमतौर पर निजी/सार्वजनिक कुंजी रखता है और ट्रस्ट स्टोर केवल सार्वजनिक कुंजी (और उन विश्वसनीय पार्टियों की सूची का प्रतिनिधित्व करता है जिनके साथ आप संवाद करना चाहते हैं)। खैर, यह मेरी पहली धारणा है, इसलिए यदि यह सही नहीं है, तो शायद मैंने बहुत अच्छी शुरुआत नहीं की है ...

मुझे यह समझने में दिलचस्पी थी कि जब आप keytool का उपयोग करते समय स्टोर को अलग करते हैं।

तो, जहाँ तक मुझे एक कीस्ट्रोक

keytool -import -alias bob -file bob.crt -keystore keystore.ks 

जो मेरे keystore.ks फ़ाइल बनाता है का उपयोग कर बनाया गया है। मैं प्रश्न के लिए yes का उत्तर देता हूं, क्या मुझे बॉब पर भरोसा है लेकिन यह मेरे लिए अस्पष्ट है अगर इसने एक कीस्टोर फ़ाइल या ट्रस्टस्टोर फ़ाइल बनाई है? मैं फ़ाइल का उपयोग करने के लिए अपना आवेदन भी सेट कर सकता हूं।

-Djavax.net.ssl.keyStore=keystore.ks -Djavax.net.ssl.keyStorePassword=x 
-Djavax.net.ssl.trustStore=keystore.ks -Djavax.net.ssl.trustStorePassword=x 

और System.setProperty("javax.net.debug", "ssl") सेट के साथ, मैं भरोसा प्रमाणपत्र के तहत प्रमाणपत्र देख सकता है (लेकिन कुंजीस्टोर धारा के तहत)। मैं जिस विशेष प्रमाणपत्र को आयात कर रहा हूं वह केवल एक सार्वजनिक कुंजी है और मैं इसका उपयोग बॉब को एसएसएल कनेक्शन पर सामान भेजने के लिए करना चाहता हूं (लेकिन शायद यह किसी अन्य प्रश्न के लिए सबसे अच्छा छोड़ दिया गया है!)।

किसी भी पॉइंटर्स या स्पष्टीकरण की सराहना की जाएगी। क्या आप जो कुछ भी आयात करते हैं और उसके सिर्फ एक सम्मेलन का कहना है कि एक कुंजीस्टोर है और दूसरा ट्रस्ट स्टोर है? SSL आदि का उपयोग करते समय रिश्ते क्या है?

Answer 1

शब्दावली वास्तव में थोड़ा उलझन में है, लेकिन javax.net.ssl.keyStore और javax.net.ssl.trustStore दोनों को दो अलग-अलग उद्देश्यों के लिए उपयोग करने के लिए किन कुंजीों का उपयोग करने के लिए उपयोग किया जाता है। कीस्टोर विभिन्न प्रारूपों में आते हैं और यहां तक ​​कि आवश्यक फाइल भी नहीं हैं (this question देखें), और keytool उन पर विभिन्न संचालन करने के लिए एक उपकरण है (आयात/निर्यात/सूची/...)।

javax.net.ssl.keyStore और javax.net.ssl.trustStore मापदंडों KeyManager और TrustManager रों (क्रमशः) का निर्माण करने के लिए इस्तेमाल डिफ़ॉल्ट मापदंड हैं, तो/TLS सेटिंग्स जब एक SSL/TLS एक के माध्यम से कनेक्शन करने का उपयोग करने के SSLContext जो अनिवार्य रूप से एसएसएल शामिल बनाने के लिए उपयोग SSLSocketFactory या SSLEngine। ये सिस्टम गुण केवल वही हैं जहां डिफ़ॉल्ट मान आते हैं, जिसका उपयोग SSLContext.getDefault() द्वारा किया जाता है, उदाहरण के लिए SSLSocketFactory.getDefault() द्वारा उपयोग किया जाता है। (यह सब स्थानों की संख्या में एपीआई के माध्यम से अनुकूलित किया जा सकता है, किसी विशेष प्रयोजन के लिए मूलभूत मूल्यों और उस विशिष्ट SSLContext रों का उपयोग नहीं करना चाहते हैं।)

KeyManager और TrustManager के बीच का अंतर (और इस तरह javax.net.ssl.keyStore के बीच और javax.net.ssl.trustStore) के रूप में (JSSE ref guide से उद्धृत) है:

TrustManager: तय करता है कि रिमोट प्रमाणीकरण क्रेडेंशियल्स (और इस प्रकार कनेक्शन) विश्वास किया जाना चाहिए।

कीमैनगर: प्रमाणीकरण प्रमाण-पत्र दूरस्थ होस्ट को भेजने के लिए निर्धारित करता है।

(अन्य मापदंडों उपलब्ध हैं और उनके डिफ़ॉल्ट मानों JSSE ref guide में वर्णित हैं। ध्यान दें, जबकि विश्वास स्टोर के लिए एक डिफ़ॉल्ट मान है, वहाँ कुंजी संग्रह के लिए एक नहीं है कि।)

अनिवार्य , javax.net.ssl.keyStore में कीस्टोर का मतलब आपकी निजी कुंजी और प्रमाणपत्र शामिल है, जबकि javax.net.ssl.trustStore का मतलब है सीए प्रमाणपत्र जो आप रिमोट पार्टी को प्रमाण पत्र प्रस्तुत करते समय भरोसा करने के इच्छुक हैं। कुछ मामलों में, वे एक और एक ही स्टोर हो सकते हैं, हालांकि अलग-अलग स्टोरों का उपयोग करना अक्सर बेहतर होता है (विशेष रूप से जब वे फ़ाइल-आधारित होते हैं)।

Answer 2

कीस्टोर और ट्रस्टस्टोर फ़ाइलों के बीच कोई अंतर नहीं है। दोनों मालिकाना जेकेएस फ़ाइल प्रारूप में फाइलें हैं। भेद उपयोग में है: मेरे सर्वोत्तम ज्ञान के लिए, जावा केवल उस स्टोर का उपयोग करेगा जिसे javax.net.ssl.trustStore द्वारा संदर्भित किया गया है ताकि एसएसएल कनेक्शन बनाते समय विश्वास के लिए प्रमाणपत्रों की तलाश हो सके। कुंजी और javax.net.ssl.keyStore के लिए वही। लेकिन सिद्धांत रूप में ट्रस्ट- और कीस्टोरों के लिए एक और एक ही फ़ाइल का उपयोग करना ठीक है।

Answer 3

कुंजीस्टोर का उपयोग निजी कुंजी को स्टोर करने के लिए सर्वर द्वारा किया जाता है, और ट्रस्टस्टोर का उपयोग तीसरे पक्ष के क्लाइंट द्वारा सर्वर तक पहुंचने वाली सार्वजनिक कुंजी को स्टोर करने के लिए किया जाता है। मैंने अपने उत्पादन आवेदन में ऐसा किया है। नीचे एसएसएल संचार के लिए जावा प्रमाण पत्र पैदा करने के लिए कदम हैं:

1. खिड़कियों में keygen आदेश का उपयोग कर एक प्रमाण पत्र उत्पन्न करें:

Keytool -genkey -keystore server.keystore -alias mycert-20,161,109 आरएसए -keyalg - keysize 2048 -validity 3950

1. स्व प्रमाण पत्र प्रमाणित:

keytool -selfcert -alias मेरी प्रमाणपत्र-20161109 -keystore server.keystore -validity 3950

1. निर्यात प्रमाण पत्र फ़ोल्डर में:

Keytool निर्यात -alias mycert-20161109 -keystore server.keystore -rfc -file mycert-20161109.cer

ग्राहक Truststore में
1. आयात प्रमाणपत्र:

keytool -importcert -alias mycert-20,161,109 -file C: \ प्रमाणपत्र \ mycert-20,161,109 -किस्टोर। टी जंगली

Answer 4

कीस्टोर बस निजी कुंजी स्टोर करता है, वेरास ट्रस्टस्टोर सार्वजनिक कुंजी स्टोर करता है। आप एसएसएल संचार के लिए जावा प्रमाणपत्र उत्पन्न करना चाहते हैं। आप विंडोज़ में एक keygen कमांड का उपयोग कर सकते हैं, यह शायद सबसे आसान समाधान होगा।

Answer 5

आम USECASE/उद्देश्य या आम आदमी तरह से व्याख्या करने के लिए:

TrustStore: नाम इंगित करता है, अपने सामान्य रूप से प्रमाणपत्र विश्वसनीय संस्थाओं की स्टोर करने के लिए इस्तेमाल किया। एक प्रक्रिया अपने सभी विश्वसनीय पार्टियों के प्रमाण पत्रों की एक दुकान को बनाए रख सकती है, जो इसे भरोसा करती है।

कीस्टोर: हस्ताक्षरित प्रमाण के साथ सर्वर कुंजी (सार्वजनिक और निजी दोनों) स्टोर करने के लिए प्रयुक्त होता है।

एसएसएल हाथ मिलाना के दौरान,

1. एक ग्राहक https का उपयोग करने की कोशिश करता है: //

2. और इस तरह, सर्वर एक SSL प्रमाणपत्र प्रदान करने (जो अपने KeyStore में संग्रहित है) कर जवाब

3. अब, क्लाइंट को SSL प्रमाणपत्र प्राप्त होता है और ट्रस्टस्टोर के माध्यम से इसे सत्यापित करता है (यानी क्लाइंट के ट्रस्टस्टोर में पहले से ही प्रमाणपत्रों का प्री-डिफ़ाइंड सेट है जो इसे भरोसा करता है।)। इसकी तरह: क्या मैं इस सर्वर पर भरोसा कर सकता हूं? क्या यह वही सर्वर है जिसे मैं बात करने की कोशिश कर रहा हूं? कोई मध्य आदमी हमला नहीं करता है?

4. एक बार, क्लाइंट सत्यापित करता है कि यह उस सर्वर से बात कर रहा है जिस पर यह विश्वास करता है, तो एसएसएल संचार एक साझा गुप्त कुंजी पर हो सकता है।

नोट: मैं सर्वर पक्ष पर क्लाइंट प्रमाणीकरण के बारे में कुछ भी नहीं बोल रहा हूं। यदि कोई सर्वर क्लाइंट प्रमाणीकरण भी करना चाहता है, तो सर्वर क्लाइंट को सत्यापित करने के लिए ट्रस्टस्टोर भी बनाए रखता है।