以编程方式将 PEM 证书导入 Java KeyStore

Question

我有一个由两个文件（.crt 和 .key）组成的客户端证书，我希望将其导入到 java KeyStore 中，然后在 SSLContext 中使用 Apache 的 HTTPClient 发送 HTTP 请求。但是，我似乎找不到以编程方式执行此操作的方法，我发现的大多数其他问题要么指向外部工具，要么不适合我的情况。

我的证书使用典型的“BEGIN CERTIFICATE”编码，后跟一个 Base64 编码字符串，密钥使用“BEGIN RSA PRIVATE KEY”，然后是另一个 Base64 编码字符串。

这是我目前得到的：

private static SSLContext createSSLContext(File certFile, File keyFile) throws IOException {
    try {
        PEMParser pemParser = new PEMParser(new FileReader(keyFile));
        JcaPEMKeyConverter converter = new JcaPEMKeyConverter().setProvider(new BouncyCastleProvider());
        Object object = pemParser.readObject();
        KeyPair kp = converter.getKeyPair((PEMKeyPair) object);
        PrivateKey privateKey = kp.getPrivate();

        CertificateFactory certFactory = CertificateFactory.getInstance("X.509");
        FileInputStream stream = new FileInputStream(certFile);
        X509Certificate cert = (X509Certificate) certFactory.generateCertificate(stream);

        KeyStore store = KeyStore.getInstance("JKS");
        store.load(null);
        store.setCertificateEntry("certificate", cert);
        store.setKeyEntry("private-key", privateKey, "changeit".toCharArray(), new Certificate[] { cert });

        SSLContext sslContext = SSLContexts.custom()
                .loadKeyMaterial(store, "changeit".toCharArray())
                .build();
        return sslContext;
    } catch (IOException | NoSuchAlgorithmException | CertificateException | KeyStoreException | KeyManagementException | UnrecoverableKeyException e) {
        throw new IOException(e);
    }
}

堆栈跟踪：

java.io.IOException: java.security.spec.InvalidKeySpecException: java.security.InvalidKeyException: 无效的密钥格式 在 me.failedshack.ssltest.SSLTest.createSSLContext(SSLTest.java:80) 在 me.failedshack.ssltest.SSLTest.main(SSLTest.java:31)

原因：java.security.spec.InvalidKeySpecException：java.security.InvalidKeyException：无效的密钥格式 在 java.base/sun.security.rsa.RSAKeyFactory.engineGeneratePrivate(RSAKeyFactory.java:216) 在 java.base/java.security.KeyFactory.generatePrivate(KeyFactory.java:390) 在 me.failedshack.ssltest.SSLTest.createSSLContext(SSLTest.java:62) ... 1 更多

原因：java.security.InvalidKeyException：无效的密钥格式 在 java.base/sun.security.pkcs.PKCS8Key.decode(PKCS8Key.java:330) 在 java.base/sun.security.pkcs.PKCS8Key.decode(PKCS8Key.java:355) 在 java.base/sun.security.rsa.RSAPrivateCrtKeyImpl.(RSAPrivateCrtKeyImpl.java:91) 在 java.base/sun.security.rsa.RSAPrivateCrtKeyImpl.newKey(RSAPrivateCrtKeyImpl.java:75) 在 java.base/sun.security.rsa.RSAKeyFactory.generatePrivate(RSAKeyFactory.java:315) 在 java.base/sun.security.rsa.RSAKeyFactory.engineGeneratePrivate(RSAKeyFactory.java:212) ... 3 更多

遗憾的是，在从文件生成私钥时，我不断收到 InvalidKeyException。

Answer 1

RSA PRIVATE KEY 类型的 PEM 文件是 base64 而非二进制，更重要的是，它是 PKCS1 格式而不是 PKCS8，因此不能作为 PKCS8EncodedKeySpec 处理。

您的选择是：

• 将 PKCS1 PEM 格式转换为 PKCS8（未加密）PEM 格式；阅读并删除标题和尾行并将base64解码为二进制并将其放入PKCS8EncodedKeySpec - 但您说您不需要外部工具，而且转换私钥PLUS证书（或链）同样容易进入 已经 Java 密钥库的 PKCS12 (DER) 并避免该问题

• 将 PKCS1 PEM 格式转换为 PKCS8（未加密）DER 格式，您可以将其读取为二进制并输入 PKCS8EncodedKeySpec -- 同上

• 如果 PKCS1 PEM 未加密，则按上述方式读取并解码为 PKCS1 DER，然后手动构建 PKCS8（未加密）编码，并使用该编码

1234563未加密）编码

• 如果你可以专门使用BouncyCastle bcpkix，它可以直接读取和解析所有 OpenSSL 用于私钥的PEM 变体，包括解密加密的变体；但是，如果您还没有使用它，那需要安装和/或部署一个额外的 jar

查看以下一个或多个骗子：
Load certificate to KeyStore (JAVA)（Q 使用 BouncyCastle 构造 PKCS8）
Java: Convert DKIM private key from RSA to DER for JavaMail（我的答案是“手动”构造 PKCS8）
How to Load RSA Private Key From File（使用 BouncyCastle 读取)
Read RSA private key of format PKCS1 in JAVA（使用 BouncyCastle 读取）
Get a PrivateKey from a RSA .pem file（使用 BC 解密）
Decrypting an OpenSSL PEM Encoded RSA private key with Java?（手动解密）
也许PKCS#1 and PKCS#8 format for RSA private key（背景）
和Differences between "BEGIN RSA PRIVATE KEY" and "BEGIN PRIVATE KEY"（背景）