更改 Java 默认信任库密码的影响

Question

我最近不得不将我的公司根 CA（基于 AD CS）添加到 JRE 默认信任库（$JAVA_HOME/lib/security/cacerts文件）中。然后我发现（因为我是新手）默认密码是changeit.

我找到了各种解释如何更改它的帖子，但有两个问题我找不到答案：

1. 保留默认密码是否存在安全风险？我猜攻击者然后可以导入受损的证书，以便客户信任它们
2. 更改此信任库密码有什么影响？我也猜测 JRE 可以在里面查找根 CA，因为它知道默认密码。一旦更改，是否必须在某处提供（配置文件，...）？

对于有小程序的网站，我们主要在 Windows 上使用 Java，所以我们不会从命令行启动任何东西（我知道可以提供密码）。

Answer 1

关于您的第二个问题，有系统属性可以指定默认信任存储和默认密钥存储的密码。信任存储库是： javax.net.ssl.trustStorePassword

我在/sf/answers/410994671/找到了该信息

如果攻击者可以通过配置文件或运行 Java 程序读取您的 Java 系统属性，那么更改密码基本上是徒劳的。