SSL SSL e armazenamento de chaves cert

Como meu programa java sabe onde está o meu keystore que contém o certificado? Ou então, como digo ao meu programa java onde procurar o keystore?

Depois de especificar o keystore de alguma maneira, como especificar o certificado a ser usado para autenticar o servidor no cliente?

System.setProperty("javax.net.ssl.trustStore", path_to_your_jks_file);

As propriedades SSL são configuradas no nível da JVM por meio das propriedades do sistema. Ou seja, você pode defini-los quando executa o programa (java -D ....) ou pode defini-los no código executando System.setProperty.

As chaves específicas que você precisa definir estão abaixo:

javax.net.ssl.keyStore - local do arquivo keystore Java que contém o próprio certificado e chave privada de um processo de aplicativo. No Windows, o nome do caminho especificado deve usar barras, /, no lugar de barras invertidas.

javax.net.ssl.keyStorePassword - Senha para acessar a chave privada do arquivo keystore especificado por javax.net.ssl.keyStore. Essa senha é usada duas vezes: Para desbloquear o arquivo de armazenamento de chaves (senha de armazenamento) e Descriptografar a chave privada armazenada no armazenamento de chaves (senha de chave).

javax.net.ssl.trustStore - local do arquivo keystore Java que contém a coleção de certificados de CA confiáveis ​​por este processo de aplicativo (armazenamento confiável). No Windows, o nome do caminho especificado deve usar barras /, no lugar de barras invertidas \,.

Se um local de armazenamento confiável não for especificado usando essa propriedade, a implementação do SunJSSE procurará e utilizará um arquivo de armazenamento de chaves nos seguintes locais (em ordem):

1. $JAVA_HOME/lib/security/jssecacerts
2. $JAVA_HOME/lib/security/cacerts

javax.net.ssl.trustStorePassword - Senha para desbloquear o arquivo keystore (senha de armazenamento) especificado por javax.net.ssl.trustStore.

javax.net.ssl.trustStoreType - (Opcional) Para o formato de arquivo keystore Java, essa propriedade possui o valor jks (ou JKS). Você normalmente não especifica essa propriedade, porque seu valor padrão já é jks.

javax.net.debug - Para ativar o log da camada SSL / TLS, configure essa propriedade como ssl.

Apenas uma palavra de cautela. Se você estiver tentando abrir um keystore JKS existente no Java 9 em diante, precisará mencionar também as seguintes propriedades com o valor "JKS":

javax.net.ssl.keyStoreType
javax.net.ssl.trustStoreType

O motivo é que o tipo de keystore padrão, conforme prescrito no arquivo java.security, foi alterado para pkcs12 de jks a partir do Java 9 em diante.

Primeiro de tudo, existem dois tipos de keystores.

Individual e Geral

O aplicativo usará o indicado na inicialização ou o padrão do sistema.

Será uma pasta diferente se o JRE ou JDK estiver em execução ou se você verificar a pessoal ou a "global".

Eles também são criptografados

Em resumo, o caminho será como:

$JAVA_HOME/lib/security/cacerts para o "geral", que tem toda a autoridade de certificação para as autoridades e é bastante importante.

você também pode mencionar o caminho em tempo de execução usando as -Dpropriedades abaixo

-Djavax.net.ssl.trustStore=/home/user/SSL/my-cacerts 
-Djavax.net.ssl.keyStore=/home/user/SSL/server_keystore.jks

No meu aplicativo apache spark, eu costumava fornecer o caminho de certs e keystore usando a --confopção e extraJavaoptionsno envio de spark como abaixo

--conf 'spark.driver.extraJavaOptions= 
-Djavax.net.ssl.trustStore=/home/user/SSL/my-cacerts 
-Djavax.net.ssl.keyStore=/home/user/SSL/server_keystore.jks'