SSL CA 证书安装答案

【问题标题】：SSL CA certificate installationSSL CA 证书安装
【发布时间】：2016-02-22 21:27:24
【问题描述】：

我有这个问题：我正在尝试正确安装我的 SSL 证书，所以我的页面通过 https 使用，我有以下情况：

我照常进行：创建密钥库和私钥，创建 .csr 文件并将其发送给我们的 CA 以供批准，并取回所有 SSL 证书。 : root.p7b、chain.p7b、网站的.p7b和chain.pem

但是，当我导入上述证书时，我偶然发现了以下错误： “keytool error: java.lang.Exception: Public keys in reply and keystore don't match” 然后通过阅读我发现Java除了我的应用程序的密钥库之外还有它自己的cacerts文件，所以我继续将我的根证书安装到java的密钥库，然后我能够在我的应用程序密钥库中安装其余的 ssl 证书，但是现在当我尝试访问我的应用程序的网页时，我的浏览器（Firefox，Iexplorer）抱怨我的应用程序网页证书不合法“此连接不受信任”消息，我已经尝试将从我的 CA 发送的所有可用证书安装到 JAVA 的 cacert 文件中，并将它们全部安装在我的应用程序的密钥库中，还尝试了不同的编码格式，不同的安装顺序等无济于事！！

请帮忙。任何看起来似乎很少的建议都非常受欢迎。和平杰西

【问题讨论】：

github.com/zero11it/acme-client ?

标签： java ssl https

【解决方案1】：

我相信 Raghu 是正确的。具体来说，我认为您需要将链导入浏览器信任库（在本地工作站/机器上）。从它的声音来看，您已经完成了在服务器端需要做的所有事情。

该链接已经很老了，但它提供了您需要做的事情的要点： https://wiki.wmtransfer.com/projects/webmoney/wiki/Installing_root_certificate_in_Internet_Explorer_7

【讨论】：

感谢您的链接，虽然我忘了提到我的网络服务器是古老的 Tomcat。这会改变事情吗？
不，它没有。因为这里的关键是 tomcat 通过 SSL 为您的浏览器不信任的网页提供服务。将链导入浏览器的信任库是您告诉浏览器 tomcat 使用的证书是可信的（从而防止浏览器告诉您它不可信的消息）。
看来我不能对其他人的帖子发表评论 - 所以我会在这里添加评论......如果您继续浏览器中给出的提示，那么您可以查看证书。确保您在此处（通过浏览器）看到的证书是您所期望的。

【解决方案2】：

您需要将相同的 CA 证书安装到浏览器的信任库中。

【讨论】：

您看到问题出现了，因为当我尝试访问该页面时，技术错误表明正在使用的证书是自签名的，因此该页面可能存在风险！老实说，我不知道为什么，我的 JAVA cacert 文件和应用程序密钥库中都有相同的证书。 :-(
是的，除非您通过将自签名证书添加到浏览器信任库来信任它们，否则您应该会收到自签名证书的此错误。这里没有什么不寻常的地方。
Raghu：但证书不是自签名的，我将我的 .csr 发送到了知名 CA，而我取回的证书给我带来了麻烦。
证书的域（CN）是否与您的环境匹配。例如，您必须输入 Jess.com 作为 CN，因为您将使用 localhost 进行测试。
帮我解决这个问题，但据我所知，由于它是由知名 CA 提供的 ssl，因此域无关紧要，因为该页面可通过互联网免费提供给任何客户,.你不觉得吗？

【解决方案3】：

杰西：

根据描述，您似乎正在使用 Tomcat 作为服务器。

请尝试按照以下步骤操作：

首先，通过运行以下命令检查密钥库文件的内容：

keytool -v -list -keystore sample.jks

如果您只看到一个条目，即私钥条目向下滚动并检查Issued To 和Issued By。如果两者相同，则证书尚未导入密钥库。注意：复制别名（例如test）。
如果是这种情况，请运行以下命令（假设您有从 CA 收到的 p7b 文件）

keytool -import -keystore sample.jks -alias test - 文件 ca.p7b .

现在再次运行第一个命令并检查内容。您应该会在别名下看到成功导入的证书。

【讨论】：