如何从Java Keytool密钥库导出我的私钥？

#1 楼

使用Java密钥工具将JKS转换为P12 ...

从keytool的专有格式（称为“ JKS”）导出为标准格式PKCS＃12：

keytool -importkeystore \
    -srckeystore keystore.jks \
    -destkeystore keystore.p12 \
    -deststoretype PKCS12 \
    -srcalias <jkskeyalias> \
    -deststorepass <password> \
    -destkeypass <password>

...然后使用openssl将P12导出到PEM

使用openssl导出证书：

openssl pkcs12 -in keystore.p12  -nokeys -out cert.pem

导出未加密的私钥：

openssl pkcs12 -in keystore.p12  -nodes -nocerts -out key.pem

#2 楼

从Java 6开始，您可以使用.p12（带有选项keytool（在先前版本中不可用））将私钥导入/导出到PKCS＃12（-importkeystore）文件中。

例如：

keytool -importkeystore -srckeystore existing-store.jks -destkeystore new-store.p12 -deststoretype PKCS12

默认的Oracle / Sun安全提供程序还支持PKCS12密钥库类型作为标准密钥库类型。

#3 楼

试试“ Keystore Explorer”
我同意Bruno。 Keytool是处理Java密钥库时的终极工具，但是有一个漂亮而功能强大的免费工具：
Keystore Explorer
我经常使用它，不需要其他东西。

#4 楼

如果有人在这里试图从JCEKS类型的密钥库中获取私钥，我发现其他答案中描述的keytool和openssl指令不起作用。我必须使用下面的Java类来获取密钥。

import sun.misc.BASE64Encoder;

import java.io.File;
import java.io.FileInputStream;
import java.io.FileWriter;
import java.security.*;

public class ExportPrivateKey
{
    private File keystoreFile;
    private String keyStoreType;
    private char[] keyStorePassword;
    private char[] keyPassword;
    private String alias;
    private File exportedFile;

    public void export() throws Exception {
        KeyStore keystore = KeyStore.getInstance(keyStoreType);
        BASE64Encoder encoder = new BASE64Encoder();
        keystore.load(new FileInputStream(keystoreFile), keyStorePassword);
        Key key = keystore.getKey(alias, keyPassword);
        String encoded = encoder.encode(key.getEncoded());
        FileWriter fw = new FileWriter(exportedFile);
        fw.write("---BEGIN PRIVATE KEY---\n");
        fw.write(encoded);
        fw.write("\n");
        fw.write("---END PRIVATE KEY---");
        fw.close();
    }

    public static void main(String args[]) throws Exception {
        ExportPrivateKey export = new ExportPrivateKey();
        export.keystoreFile = new File(args[0]);
        export.keyStoreType = args[1];
        export.keyStorePassword = args[2].toCharArray();
        export.alias = args[3];
        export.keyPassword = args[4].toCharArray();
        export.exportedFile = new File(args[5]);
        export.export();
    }
}

用法：

javac ExportPrivateKey.java
java ExportPrivateKey <path_to_keystore> JCEKS <keystore_password> “<key_alias>” <key_password> <output_file_name>

#5 楼

有一种允许移动私钥的格式称为PKCS＃12。随着需求的发展，这种格式后来出现在PKI证书和相关密钥库的演变中。如果考虑通过访问和传输私钥而产生的信任链问题，您会明白为什么它不包含在初始功能中，而是在操作需求的压力下出现的。这是挑战的核心原因。

Java密钥库是PKCS＃12格式的最初用户之一，但作为导入者而不是导出者。看来Java密钥库的安全性设计仍然不支持将私钥导出为标准功能。同样，出于这个事实，有很好的安全原因。就是说，私有例程已按以下参考文献进行编写：http://www.startux.de/index.php/java/44-dealing-with-java-keystoresyvComment44

如果可能的话，我会考虑在OpenSSL和新密钥中创建新的密钥库，而不是尝试从Java密钥库中撬出私钥。通过打开Java密钥库并提取私钥，人们已经超越了设计的安全功能。多年来一直需要导出PKCS＃12功能，但Java仍不支持该功能。我的想法是出于非常好的密码学原因，因此除非绝对必要，否则我将采取这一步骤。