参考
理解
关于keyGenerator,KeyPairGenerator,SecretKeyFactory的解析
Java加密的常用的加密算法类型有三种
1单向加密:也就是不可逆的加密,例如MD5,SHA,HMAC
2对称加密:也就是加密方和解密方利用同一个秘钥对数据进行加密和解密,例如DES,PBE等等
3非对称加密:非对称加密分为公钥和秘钥,二者是非对称的,例如用私钥加密的内容需要使用公钥来解密,使用公钥加密的内容需要用私钥来解密,DSA,RSA...
而keyGenerator,KeyPairGenerator,SecretKeyFactory的三种使用方法刚好和这三种加密算法类型对上
keyGenerator:秘钥生成器,也就是更具算法类型随机生成一个秘钥,例如HMAC,所以这个大部分用在非可逆的算法中
SecretKeyFactory:秘密秘钥工厂,言外之意就是需要根据一个秘密(password)去生成一个秘钥,例如DES,PBE,所以大部分使用在对称加密中
KeyPairGenerator:秘钥对生成器,也就是可以生成一对秘钥,也就是公钥和私钥,所以大部分使用在非对称加密中
转
public static void main(String[] args) throwsException {byte[] msg = "test!中文".getBytes("UTF8"); //待加解密的消息//用证书的公钥加密
CertificateFactory cff = CertificateFactory.getInstance("X.509");
FileInputStream fis1= new FileInputStream("D:/test/zhongxin.cer"); //证书文件
Certificate cf =cff.generateCertificate(fis1);
PublicKey pk1= cf.getPublicKey(); //得到证书文件携带的公钥
Cipher c1 = Cipher.getInstance("RSA/ECB/PKCS1Padding"); //定义算法:RSA
c1.init(Cipher.ENCRYPT_MODE, pk1);byte[] msg1 = c1.doFinal(msg); //加密后的数据//用证书的私钥解密 - 该私钥存在生成该证书的密钥库中
FileInputStream fis2 = new FileInputStream("D:/test/c-abc.keystore");
KeyStore ks= KeyStore.getInstance("JKS"); //加载证书库
char[] kspwd = "123456".toCharArray(); //证书库密码
char[] keypwd = "abcd1234".toCharArray(); //证书密码
ks.load(fis2, kspwd); //加载证书
PrivateKey pk2 = (PrivateKey) ks.getKey("zhongxin", keypwd); //获取证书私钥
fis2.close();
Cipher c2= Cipher.getInstance("RSA/ECB/PKCS1Padding");
c2.init(Cipher.DECRYPT_MODE, pk2);byte[] msg2 = c2.doFinal(msg1); //解密后的数据
System.out.println(new String(msg2, "UTF8")); //将解密数据转为字符串
String aaa=Base64.getEncoder().encodeToString(pk2.getEncoded());
System.out.println(aaa);
PKCS8EncodedKeySpec spec=newPKCS8EncodedKeySpec(Base64.getDecoder().decode(aaa));
PrivateKey priva= KeyFactory.getInstance("RSA").generatePrivate(spec);
Cipher cc2= Cipher.getInstance("RSA/ECB/PKCS1Padding");
cc2.init(Cipher.DECRYPT_MODE, priva);byte[] msg22 = cc2.doFinal(msg1); //解密后的数据
System.out.println(new String(msg22, "UTF8")); //将解密数据转为字符串//aaa();
}
一.keytool的概念
keytool 是个密钥和证书管理工具。它使用户能够管理自己的公钥/私钥对及相关证书,用于(通过数字签名)自我认证(用户向别的用户/服务认证自己)或数据完整性以及认证服务。在JDK 1.4以后的版本中都包含了这一工具,它的位置为%JAVA_HOME%\bin\keytool.exe,如下图所示:
二.keytool的用法
三.创建证书
创建证书主要是使用" -genkeypair",该命令的可用参数如下:
范例:生成一个名称为test1的证书
Cmd代码
keytool -genkeypair -alias"test1"-keyalg"RSA"-keystore"test.keystore"
功能:
创建一个别名为test1的证书,该证书存放在名为test.keystore的密钥库中,若test.keystore密钥库不存在则创建。
参数说明:
-genkeypair:生成一对非对称密钥;
-alias:指定密钥对的别名,该别名是公开的;
-keyalg:指定加密算法,本例中的采用通用的RAS加密算法;
-keystore:密钥库的路径及名称,不指定的话,默认在操作系统的用户目录下生成一个".keystore"的文件
注意:
1.密钥库的密码至少必须6个字符,可以是纯数字或者字母或者数字和字母的组合等等
2."名字与姓氏"应该是输入域名,而不是我们的个人姓名,其他的可以不填
执行完上述命令后,在操作系统的用户目录下生成了一个"test.keystore"的文件,如下图所示:
四.查看密钥库里面的证书
范例:查看test.keystore这个密钥库里面的所有证书
Cmd代码
keytool -list -keystore test.keystore
五.导出到证书文件
范例:将名为test.keystore的证书库中别名为test1的证书条目导出到证书文件test.crt中
Cmd代码
keytool -export -alias test1 -file test.crt -keystore test.keystore
运行结果:在操作系统的用户目录(gacl)下生成了一个"test.crt"的文件,如下图所示:
六.导入证书
范例:将证书文件test.crt导入到名为test_cacerts的证书库中
Cmd代码
keytool -import -keystore test_cacerts -file test.crt
如导入证书报“keytool error: java.lang.Exception: Input not an X.509 certificate”异常,可用文本编辑器打开查看,如是乱码,则应该是“DER 编码二进制 X.509(.CER)(D)”证书,如是字母数字,则应该是"Base64 编码 X.509(.CER)(D)”证书。
在这我用文本编辑器打开报“keytool error: java.lang.Exception: Input not an X.509 certificate”异常的证书,是乱码的,应该是“DER 编码二进制 X.509(.CER)(D)”证书,于是再通过双击打开导出"Base64 编码 X.509(.CER)(D)”文件格式的证书,具体步骤如下:
单选"Base64 编码 X.509(.CER)(D)”格式
点“完成”弹出导出成功提示框即OK,用文本编辑器打开导出的证书,可以看到不是乱码的(由字母和数字组成)。
再用keytool -export -alias test1 -file test.cer -keystore test.keystore导入证书,不报“keytool error: java.lang.Exception: Input not an X.509 certificate”异常。
七.查看证书信息
范例:查看证书文件test.crt的信息
Cmd代码
keytool -printcert -file"test.crt"
八.删除密钥库中的条目
范例:删除密钥库test.keystore中别名为test1的证书条目
Cmd代码
keytool -delete -keystore test.keystore -alias test1
九.修改证书条目的口令
范例:将密钥库test.keystore中别名为test2的证书条目的密码修改为xdp123456
Cmd代码
keytool -keypasswd -alias test2 -keystore test.keystore
十.实战命令
1.生成私钥
Cmd代码
keytool -genkey -alias aliasName -keyalg RSA -keysize1024-keypass112233-validity1095-keystore test1.ks -storepass123456
2.根据生成的私钥导出公钥
Cmd代码
keytool -export -alias aliasName -keystore test1.ks -file test1.cer -storepass123456
3.查看证书
Cmd代码
keytool -printcert -file /data/test1.cer
4.导入公钥证书
Cmd代码
keytool -import -file /data/test1.cer -keystore cacerts -alias server
5.查看密钥库里面的证书
a.查看所有证书
Cmd代码
keytool -list -keystore cacerts
b.查看别名是server的证书
Cmd代码
keytool -list -keystore cacerts | grep server
c.根据证书的内容查看证书
Cmd代码
keytool -list -keystore cacerts | grep D0:DB:9A:68:FE:AE:2B:EE:84:8B:5B:D0:AD:D5:83:DA:D4:31:A1:6F
Windows下:
Java代码
keytool -list -keystore D:\software\Java\jdk1.7.0_51\jre\lib\security\cacerts
或者
keytool -list -keystore D:\software\Java\jdk1.7.0_51\jre\lib\security\cacerts | findstr /i server
或者
keytool -list -keystore D:\software\Java\jdk1.7.0_51\jre\lib\security\cacerts | findstr /i entrust
输入密钥库口令: changeit
Text代码
entrustevca,2010-4-24, trustedCertEntry,
entrustrootcag2, 2010-6-23, trustedCertEntry,
entrust2048ca, 2010-6-23, trustedCertEntry,
entrustsslca, 2003-1-9, trustedCertEntry,
6.删除密钥库中的条目
Cmd代码
keytool -delete -keystore cacerts equifaxsecureca