keytool - 密钥和证书管理工具

keytool - 密钥和证书管理工具陕西省数字证书认证中心keytool - 密钥和证书管理工具keytool - 密钥和证书管理工具管理由私钥和认证相关公钥的X.509 证书链组成的密钥仓库（数据库）。

还管理来自可信任实体的证书。

结构keytool [ 命令]说明keytool 是个密钥和证书管理工具。

它使用户能够管理自己的公钥/私钥对及相关证书，用于（通过数字签名）自我认证（用户向别的用户/服务认证自己）或数据完整性以及认证服务。

它还允许用户储存他们的通信对等者的公钥（以证书形式）。

证书是来自一个实体（个人、公司等）的经数字签名的声明，它声明某些其它实体的公钥（及其它信息）具有某一的特定值（参见证书）。

当数据被数字化签名后，校验签名即可检查数据的完整性和真实性。

完整性的意思是数据没有被修改或损坏过，真实性的意思是数据的确是来自声称创建了该数据和对它进行了签名的实体。

keytool 将密钥和证书储存在一个所谓的密钥仓库中。

缺省的密钥仓库实现将密钥仓库实现为一个文件。

它用口令来保护私钥。

jarsigner 工具利用密钥仓库中的信息来产生或校验Java 存档(JAR) 文件的数字签名（JAR 文件将类文件、图象、声音和/或其它数字化数据打包在一个文件中）。

jarsigner 用JAR 文件所附带的证书（包含于JAR 文件的签名块文件中）来校验JAR 文件的数字签名，然后检查该证书的公钥是否“可信任”，即是否包括在指定的密钥仓库中。

请注意：keytool 和jarsigner 工具完全取代了JDK 1.1 中提供的javakey 工具。

这些新工具所提供的功能比javakey 提供的多，包括能够用口令来保护密钥仓库和私钥，以及除了能够生成签名外还可以校验它们。

新的密钥仓库体系结构取代了javakey 所创建和管理的身份数据库。

可以利用- identitydb keytool 命令将信息从身份数据库导入密钥仓库。

密钥仓库项在密钥仓库中有两种不同类型的项：密钥项- 每项存放极为敏感的加密密钥信息，这种信息以一种受保护的格式储存以防止未授权的访问。

通常，储存在这类项中的密钥是机密密钥，或是伴有用于认证相应公钥用的证书“链”的私钥。

keytool 和jarsigner 工具只处理后一类型的项，即私钥及其关联的证书链。

可信任的证书项- 每项包含一个属于另一团体的公钥证书。

它之所以叫做“可信任的证书”，是因为密钥仓库的拥有者相信证书中的公钥确实属于证书“主体”（拥有者）识别的身份。

证书签发人通过对证书签名来保证这点。

密钥仓库使用的别名对所有的密钥仓库项（密钥项和可信任的证书项）的访问都要通过唯一的别名来进行。

别名不区分大小写，即别名Hugo 和hugo 指的是同一密钥仓库项。

当用-genkey 命令来生成密钥对（公钥和私钥）或用-import 命令来将证书或证书链加到可信任证书的清单中，以增加一个实体到密钥仓库中，必须指定了一个别名。

后续keytool 命令必须使用这一相同的别名来引用该实体。

例如，假设您用别名duke 生成了新的公钥/私钥密钥对并将公钥用以下命令打包到自签名证书中（参见证书链）：keytool -genkey -alias duke -keypass dukekeypasswd这指定了一个初始口令“dukekeypasswd”，接下来的命令都要使用该口令才能访问与别名duke 相关联的私钥。

以后如果您想更改duke 的私钥口令，可用类似下述的命令：keytool -keypasswd -alias duke -keypass dukekeypasswd -new newpass这将把口令从“dukekeypasswd”改为“newpass”。

请注意：实际上，除非是作为测试目的或是在安全的系统上，否则不应在命令行或脚本中指定口令。

如果没有在命令行上指定所要求的口令选项，您将会得到要求输入口令的提示。

当在口令提示符下键入口令时，口令将被即时显示出来（键入什么就显示什么），因此，要小心，不要当着任何人的面键入口令。

密钥仓库位置每个keytool 命令都有一个-keystore 选项，用于指定keytool 管理的密钥仓库的永久密钥仓库文件名称及其位置。

缺省情况下，密钥仓库储存在用户宿主目录（由系统属性的“user.home”决定）中名为.keystore 的文件中。

在Solaris 系统中“user.home”缺省为用户的宿主目录。

密钥仓库的创建当用-genkey、-import 或-identitydb 命令向某个尚不存在的密钥仓库添加数据时，就创建了一个密钥仓库。

具体地说，如果在-keystore 选项中指定了一个并不存在的密钥仓库，则该密钥仓库将被创建。

如果不指定-keystore 选项，则缺省密钥仓库将是宿主目录中名为.keystore 的文件。

如果该文件并不存在，则它将被创建。

密钥仓库实现java.security 包中提供的KeyStore 类为访问和修改密钥仓库中的信息提供了相当固定的接口。

可以有多个不同的具体实现，其中每个实现都是对某个特定类型的密钥仓库的具体实现。

目前，有两个命令行工具（keytool 和jarsigner）以及一个名为Policy Tool 的基于GUI 的工具使用密钥仓库实现。

由于密钥仓库是公用的，JDK 用户可利用它来编写其它的安全性应用程序。

Sun Microsystems 公司提供了一个内置的缺省实现。

它利用名为“JKS”的专用密钥仓库类型（格式），将密钥仓库实现为一个文件。

它用个人口令保护每个私钥，也用口令（可能为另一个口令）保护整个密钥仓库的完整性。

密钥仓库的实现基于提供者(provider)。

更具体地说，由密钥仓库所提供的应用程序接口是借助于“服务提供者接口”(SPI) 来实现的。

也就是说，在java.security 包中还有一个对应的抽象KeystoreSpi 类，它定义了“提供者”必须实现的服务提供者接口方法。

（术语“提供者”指的是一个或一组包，这个或这组包提供了一部份可由Java 安全API 访问的服务子集的具体实现。

因此，要提供某个密钥仓库实现，客户机必须实现一个“提供者”并实现KeystoreSpi 子类，如如何为Java 加密体系结构实现Provider 中所述。

通过使用KeyStore 类中提供的“getInstance”工厂方法，应用程序可从不同的提供者中挑选不同类型的密钥仓库实现。

密钥仓库类型定义密钥仓库信息的存储和数据格式，以及用于保护密钥仓库中的私钥和密钥仓库自身完整性的算法。

不同类型的密钥仓库实现是不兼容的。

keytool 使用基于文件的密钥仓库实现（它把在命令行中传递给它的密钥仓库位置当成文件名处理并将之转换为文件输入流，从该文件输入流中加载密钥仓库信息）。

另一方面，jarsigner 和policytool 工具可从任何可用URL 指定的位置读取某个密钥仓库。

对于keytool 和jarsigner，可在命令行用-storetype 选项指定密钥仓库类型。

对于Policy Tool，可通过“编辑”菜单中的“更改密钥仓库”命令来指定密钥仓库类型。

如果没有明确指定一个密钥仓库类型，这些工具将只是根据安全属性文件中指定的keystore.type 属性值来选择密钥仓库实现。

安全属性文件名为java.security，它位于JDK 安全属性目录java.home/lib/security 中，其中java.home 为JDK 的安装目录。

每个工具都先获取keystore.type 的值，然后检查所有当前已安装的提供者直到找到一个实现所要求类型的密钥仓库的实现为止。

然后就使用该提供者的密钥仓库实现。

KeyStore 类定义了一个名为getDefaultType 的静态方法，它可让应用程序或applet 检索keystore.type 属性的值。

以下代码将创建缺省密钥仓库类型（此类型由keystore.type 属性所指定。

）的一个实例：KeyStore keyStore = KeyStore.getInstance(KeyStore.getDefaultType());缺省的密钥仓库类型是“jks”（这是由“SUN”提供者提供的密钥仓库实现的专用类型）。

它在安全性属性文件中由下行进行指定：keystore.type=jks要让工具使用不同于缺省类型的密钥仓库实现，可更改此行，指定不同的密钥仓库类型。

例如，如果您有一个这样的提供者包，它给出一个名为“pkcs12”的密钥仓库类型的密钥仓库实现，则可将上面那行改为：keystore.type=pkcs12注意：密钥仓库类型的命名中大小写无关紧要。

例如，“JKS”将被认为是与“jks”相同的。

支持的算法和密钥大小keytool 允许用户指定任何注册了的加密服务提供者所提供的密钥对生成和签名算法。

也就是说，各种命令中的keyalg 和sigalg 选项必须得到提供者的实现的支持。

缺省的密钥对生成算法是“DSA”。

签名算法是从所涉及私钥的算法推导来的：如果所涉及的私钥是“DSA”类型，则缺省的签名算法为“SHA1withDSA”，如果所涉及的私钥是“RSA”类型，则缺省的签名算法为“MD5withRSA”。

在生成DSA 密钥对时，密钥大小的范围必须在512 到1024 位之间，且必须是64 的倍数。

缺省的密钥大小为1024 位。

证书证书（也叫公钥证书）是来自某个实体（签发人）的经数字签名的声明，它声明另一实体（主体）的公钥（及其它信息）具有某一特定的值。

下面详细解释本句中使用的主要术语：公钥是与特定实体相关联的数字。

所有需要与该实体进行信任交互的人都应知道该数字。

公钥用于校验签名。

经数字签名如果某些数据经数字签名，说明它们已与某一实体的“身份”存储在一起，而且证明该实体的签名知道这些数据。

通过用该实体的私钥进行绘制，这些数据就是不可伪造的了。

身份用于声明实体的一种手段。

某些系统中，身份是公钥，而在另一些系统中则可以是Unix UID、电子邮件地址或X.509 特征名等等。

签名所谓签名，就是用实体的（签名人，在证书中也称为签发人）私钥对某些数据进行计算。

私钥是一些数字，每个数字都应仅被以该数字作为私钥的特定实体所知（即该数字应保密）。

在所有公钥密码系统中，私钥和公钥均成对出现。

在DSA 等具体的公钥密码系统中，一个私钥只对应一个公钥。

私钥用于计算签名。

实体实体是您在某种程度上对其加以信任的个人、组织、程序、计算机、企业、银行等。

通常，公钥密码系统需要访问用户的公钥。

在大型联网环境中，并不能确保通信实体之间已经预先建立起关系，也无法确保受信任的储存库与所用的公钥都存在。