使用Java标准密钥库是不好的做法

Question

我们一直使用java标准keystore($JAVA_HOME/jre/lib/security/cacerts)作为tomcat的可信存储.并且该tomcat服务器将与其他服务器通信.最近的操作系统(AIX)升级显然覆盖了文件$JAVA_HOME/jre/lib/security/cacerts,导致在tomcat中托管的应用程序丢失了证书和许多问题.

看看这是一个不好的做法,继续使用$ JAVA_HOME/jre/lib/security/cacerts？解决这种情况的替代(更好的|标准)方法是什么？

Answer 1

如果你有一个重复导入的构建过程,这并不是一个坏习惯.

Answer 2

就文件中的内容而言cacerts，这并不一定比依赖操作系统或浏览器中安装的默认 CA 证书更糟糕，但这并不意味着它很好。

Sun/Oracle 在 JSSE 参考指南中间的某个地方对此有一些“重要说明” ：

重要提示：JDK 在 /lib/security/cacerts 文件中附带了有限数量的受信任根证书。如 keytool 中所述，如果您将此文件用作信任库，则您有责任维护（即添加/删除）此文件中包含的证书。

根据您联系的服务器的证书配置，您可能需要添加其他根证书。从适当的供应商处获取所需的特定根证书。

在配置方面，对于必须安装“本地”CA 证书的特定应用程序，我发现使用本地信任存储（例如，使用 指定javax.net.ssl.trustStore）更稳定。