RSA 密钥对生成和存储到密钥库答案

【问题标题】：RSA keypair generation and storing to keystoreRSA 密钥对生成和存储到密钥库
【发布时间】：2011-03-10 17:06:13
【问题描述】：

我正在尝试生成 RSA 密钥对并将其存储在 HSM 密钥库中。我现在的代码如下所示：

String configName = "C:\\eTokenConfig.cfg";
    Provider p = new sun.security.pkcs11.SunPKCS11(configName);
    Security.addProvider(p);
    // Read the keystore form the smart card
    char[] pin = { 'p', '4', 's', 's', 'w', '0', 'r', 'd' };
    KeyStore keyStore = KeyStore.getInstance("PKCS11",p);
    keyStore.load(null, pin);
    //generate keys
    KeyPairGenerator kpg = KeyPairGenerator.getInstance("RSA",p);
    kpg.initialize(512);
    KeyPair pair = kpg.generateKeyPair();

    PrivateKey privateKey = pair.getPrivate();
    PublicKey publicKey = pair.getPublic();
    // Save Keys How ???

我尝试使用 keyStore.setEntry 方法，但问题是它需要证书链，我不知道如何获取此证书？？

【问题讨论】：

标签： java keystore pkcs#11

【解决方案1】：

见http://docs.oracle.com/javase/tutorial/security/apisign/vstep2.html

保存公钥：

    X509EncodedKeySpec x509ks = new X509EncodedKeySpec(
            publicKey.getEncoded());
    FileOutputStream fos = new FileOutputStream(strPathFilePubKey);
    fos.write(x509ks.getEncoded());

加载公钥：

    byte[] encodedKey = IOUtils.toByteArray(new FileInputStream(strPathFilePubKey));
    KeyFactory keyFactory = KeyFactory.getInstance("RSA", p);
    X509EncodedKeySpec pkSpec = new X509EncodedKeySpec(
            encodedKey);
    PublicKey publicKey = keyFactory.generatePublic(pkSpec);

保存私钥：

    PKCS8EncodedKeySpec pkcsKeySpec = new PKCS8EncodedKeySpec(
            privateKey.getEncoded());
    FileOutputStream fos = new FileOutputStream(strPathFilePrivbKey);
    fos.write(pkcsKeySpec.getEncoded());

加载私钥：

    byte[] encodedKey = IOUtils.toByteArray(new FileInputStream(strPathFilePrivKey));
    KeyFactory keyFactory = KeyFactory.getInstance("RSA", p);
    PKCS8EncodedKeySpec privKeySpec = new PKCS8EncodedKeySpec(
            encodedKey);
    PrivateKey privateKey = keyFactory.generatePrivate(privKeySpec);

【讨论】：

不幸的是，当私钥从 PKCS#11 设备“不可提取”时，此解决方案不起作用。 privateKey.getEncoded() 可能会返回 null

【解决方案2】：

如果您在令牌中生成密钥，您应该无法读取私钥。您需要创建一个虚拟证书（例如自签名）并使用别名存储它，密钥库模型取决于可用的证书。

【讨论】：