About keytool

Java Keytool 是一个可以生成公私钥对并将其存储到 Java KeyStore 的命令行工具. 是随 JDK (或者 JRE) 发布的.

λ keytool
密钥和证书管理工具命令:-certreq            生成证书请求-changealias        更改条目的别名-delete             删除条目-exportcert         导出证书-genkeypair         生成密钥对-genseckey          生成密钥-gencert            根据证书请求生成证书-importcert         导入证书或证书链-importpass         导入口令-importkeystore     从其他密钥库导入一个或所有条目-keypasswd          更改条目的密钥口令-list               列出密钥库中的条目-printcert          打印证书内容-printcertreq       打印证书请求的内容-printcrl           打印 CRL 文件的内容-storepasswd        更改密钥库的存储口令

本文会介绍这些命令的通常用法.

生成密钥对

使用 Java Keytool 最常见的场景大概就是生成公私钥对了, 生成的自签名密钥对被放到 Java KeyStore 文件中. 以下是一些用于生成密钥对的常用的参数:

λ keytool -genkeypair -help
keytool -genkeypair [OPTION]...生成密钥对选项:-alias <alias>                  生成的密钥被标识唯一的 Java KeyStore 的名称.-keyalg <keyalg>                密钥算法名称-keysize <keysize>              密钥位大小-sigalg <sigalg>                签名算法名称-destalias <destalias>          目标别名-dname <dname>                  唯一判别名, X.500 标准中的专有名词. 在 KeyStore 中, 这个名称与当前密钥对的别名关联. 在自签名的证书中, 这个名称同样也作为 issuer 和 subject-startdate <startdate>          证书有效期开始日期/时间-ext <value>                    X.509 扩展-validity <valDays>             有效天数-keypass <arg>                  密钥口令-keystore <keystore>            密钥库名称-storepass <arg>                密钥库口令-storetype <storetype>          密钥库类型-providername <providername>    提供方名称-providerclass <providerclass>  提供方类名-providerarg <arg>              提供方参数-providerpath <pathlist>        提供方类路径-v                              详细输出-protected                      通过受保护的机制的口令

例子:

keytool -genkeypair -alias my-very-first-key -keyalg RSA -keysize 2048 -dname "CN=caplike, OU=personal, O=caplike, L=Chengdu, ST=Unknown, C=CN" -keypass my-very-first-key-password -validity 100 -storetype JKS -keystore my-very-first-keystore.jks -storepass my-key-store-password

这样, 在当前目录下会生成一个名为 my-very-first-keystore.jks 的文件.

证书相关操作

导出证书

Java KeyTool 也能导出保存在 KeyStore 中的证书, 以下是导出证书的命令说明:

λ  keytool -exportcert -help
keytool -exportcert [OPTION]...导出证书选项:-rfc                            以 RFC 样式输出-alias <alias>                  要处理的条目的别名-file <filename>                输出文件名-keystore <keystore>            密钥库名称-storepass <arg>                密钥库口令-storetype <storetype>          密钥库类型-providername <providername>    提供方名称-providerclass <providerclass>  提供方类名-providerarg <arg>              提供方参数-providerpath <pathlist>        提供方类路径-v                              详细输出-protected                      通过受保护的机制的口令

例子:

keytool -exportcert -alias my-very-first-key -keypass my-very-first-key-password -storetype JKS -keystore my-very-first-keystore.jks -file my-very-first-cert.cert -storepass my-key-store-password
存储在文件 <my-very-first-cert.cert> 中的证书

当前目录下会生成一个名为 my-very-first-cert.cert 的文件.

JAVA 从 KeyStore 中读取公私钥

/*** Description: 从证书中读取公钥和私钥** @return void* @author LiKe* @date 2020-07-14 15:49:15*/
public static void read() throws KeyStoreException, IOException, CertificateException, NoSuchAlgorithmException, UnrecoverableKeyException {final KeyStore keyStore = KeyStore.getInstance("JKS");keyStore.load(new FileInputStream("D:\\caplike\\coding\\temp\\my-very-first-keystore.jks"), "my-key-store-password".toCharArray());final PublicKey publicKey = keyStore.getCertificate("my-very-first-key").getPublicKey();System.out.println("PublicKey: ");System.out.println(Base64.getEncoder().encodeToString(publicKey.getEncoded()));final Key key = keyStore.getKey("my-very-first-key", "my-very-first-key-password".toCharArray());System.out.println("PrivateKey: ");System.out.println(Base64.getEncoder().encodeToString(key.getEncoded()));
}

控制台输出:

PublicKey: 
MIIBIjANBgkqhkiG9w0BAQEFAAOCAQ8AMIIBCgKCAQEAnXr2y4WHXd7zQYHLY8AaV1DeDJ+NDNJrRy++gGtXtgPqV81bDa/9VAap0fM3fmgVPzVBmG5ke/lKCAEGyvoOAD/eVADGi6yuyjcruFEjKOVk8ZVqA/1GNzuGzYzzQcSQ3Nd4BQape/qUfurnmVHEHPzG60vR1vinKm+llgUCf7GmSOiCjHq5FPCC5LrRJvmFE1UpSiuWbFIN+7Vb03PAgC70HWLk0eaY3hKD8T7DKYAWZmTBN4zZy9VbTFFigUcHb7OJ0vLaBaLOWqScYRyENE55xfGaZJd4CWyjr2e2GPCl8bab65R6XpovKhh4kDTbFpUABiGDMYo0jwCpDEQuOwIDAQAB
PrivateKey: 
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

导入证书

Java Keytool 也能将证书导入 KeyStore.

λ  keytool -importcert -help
keytool -importcert [OPTION]...导入证书或证书链选项:-noprompt                       不提示-trustcacerts                   信任来自 cacerts 的证书-protected                      通过受保护的机制的口令-alias <alias>                  要处理的条目的别名-file <filename>                输入文件名-keypass <arg>                  密钥口令-keystore <keystore>            密钥库名称-storepass <arg>                密钥库口令-storetype <storetype>          密钥库类型-providername <providername>    提供方名称-providerclass <providerclass>  提供方类名-providerarg <arg>              提供方参数-providerpath <pathlist>        提供方类路径-v                              详细输出

例子:

keytool -importcert -alias my-very-first-key -keypass my-very-first-key-password -storetype JKS -keystore my-second-keystore.jks -file another-cert.cert -rfc -storepass my-key-store-password

查看证书

λ keytool -printcert -help
keytool -printcert [OPTION]...打印证书内容选项:-rfc                        以 RFC 样式输出-file <filename>            输入文件名-sslserver <server[:port]>  SSL 服务器主机和端口-jarfile <filename>         已签名的 jar 文件-v                          详细输出

例子:

λ keytool -printcert -file my-very-first-cert.cert -v

控制台输出:

所有者: CN=caplike, OU=personal, O=caplike, L=Chengdu, ST=Unknown, C=CN
发布者: CN=caplike, OU=personal, O=caplike, L=Chengdu, ST=Unknown, C=CN
序列号: 309c2dc8
有效期为 Tue Jul 14 14:50:00 CST 2020 至 Thu Oct 22 14:50:00 CST 2020
证书指纹:MD5:  58:2D:17:7A:E6:57:06:F0:32:6A:5E:45:9B:9D:57:49SHA1: A3:41:6E:54:13:4A:80:83:BE:48:F2:B8:C0:A7:83:24:89:B4:65:F2SHA256: F2:42:37:FC:8E:AF:B2:12:B4:FC:9C:CB:8C:1E:4F:FC:B0:F5:DB:1D:F6:05:CC:1F:08:DC:EE:8E:B3:08:17:13
签名算法名称: SHA256withRSA
主体公共密钥算法: 2048 位 RSA 密钥
版本: 3扩展:#1: ObjectId: 2.5.29.14 Criticality=false
SubjectKeyIdentifier [
KeyIdentifier [
0000: 84 A0 3B 38 46 80 A3 D6   2E 78 06 16 29 36 48 F5  ..;8F....x..)6H.
0010: EB A9 85 EF                                        ....
]
]

罗列 KeyStore 的条目

可以用 -list 命令罗列 Java KeyStore 中的条目.

λ keytool -list -help
keytool -list [OPTION]...列出密钥库中的条目选项:-rfc                            以 RFC 样式输出-alias <alias>                  要处理的条目的别名-keystore <keystore>            密钥库名称-storepass <arg>                密钥库口令-storetype <storetype>          密钥库类型-providername <providername>    提供方名称-providerclass <providerclass>  提供方类名-providerarg <arg>              提供方参数-providerpath <pathlist>        提供方类路径-v                              详细输出-protected                      通过受保护的机制的口令

例子:

keytool -list -storetype JKS -keystore my-very-first-keystore.jks -storepass my-key-store-password

控制台输出:

λ keytool -list -storetype JKS -keystore my-very-first-keystore.jks -storepass my-key-store-password
密钥库类型: JKS
密钥库提供方: SUN您的密钥库包含 1 个条目my-very-first-key, 2020-7-14, PrivateKeyEntry,
证书指纹 (SHA1): A3:41:6E:54:13:4A:80:83:BE:48:F2:B8:C0:A7:83:24:89:B4:65:F2

也可以通过指定别名的方式显示列举某一条记录.

删除 KeyStore 条目

λ keytool -delete -help
keytool -delete [OPTION]...删除条目选项:-alias <alias>                  要处理的条目的别名-keystore <keystore>            密钥库名称-storepass <arg>                密钥库口令-storetype <storetype>          密钥库类型-providername <providername>    提供方名称-providerclass <providerclass>  提供方类名-providerarg <arg>              提供方参数-providerpath <pathlist>        提供方类路径-v                              详细输出-protected                      通过受保护的机制的口令

该命令会删除 JKS 文件中与当前别名匹配的条目.

keytool -delete -alias <alias> -storetype JKS -keystore <keystore> -storepass <keystore-pass>

Reference

• Java Keytool
• What is a Digital Signature?