我可以使用 keytool 创建一个没有密码的 Java 信任库吗？

Question

我想使用自签名证书连接到 TLS 服务器，因此我需要一个自定义信任库。 keytool 似乎绝对需要密码才能导入证书，但我真的不需要密码保护信任库。使用标准密码“changeit”可以，但我宁愿完全没有密码。

请注意，这是一个“信任库”而不是“密钥库”，因此信任库中根本没有秘密材料：只有服务器的证书，因此客户端可以验证服务器是受信任的。

keytool 可以做到这一点吗？是否有其他工具可以从信任库中删除密码？了解对信任库进行身份验证实际上可能有其用途，是否有任何具体原因说明我应该不在没有密码的情况下使用信任库？

Answer 1

如果你创建一个新的信任库，我很确定 keytool 会让你输入一个空白密码，但是没有密码的问题是攻击者可以插入他们想要的任何证书并让它受到信任。这会产生恶意机会，例如 man-in-the-middle attack。您的应用程序假定它可以信任攻击者设置的 URL，因此没有什么可以阻止他们重新路由您的 Web 服务调用。

在生产环境中更改您的密钥库和信任库密码绝对是最佳实践。