Instalando certificados SSL Thawte para o tomcat da chave privada pré-gerada

Question

Recebi um conjunto de certificados SSL que preciso instalar em servidores tomcat e, normalmente, isso é bastante fácil. No entanto, esses certificados tiveram suas chaves privadas geradas em outro lugar e entregues com as chaves privadas e todos os certificados SSL.

O Keytool não permite que eu importe chaves Privadas diretamente, por isso não consigo seguir o processo padrão para gerar uma chave privada e depois enviá-la para obter o certificado. Eu encontrei outra pergunta ' link " que eu pude seguir e consegui fazer com que o keystore funcionasse com o Tomcat. No entanto, parece que os certificados intermediários de alguma forma não estão associados adequadamente e, portanto, as verificações SSL na verdade falham.

Heres é o que eu fiz:

1. keytool -import -trustcacerts -alias Arquivo primário Primary.crt -keystore keystore.key
2. keytool -import -trustcacerts -alias Secondary -file Secondary.crt -keystore keystore.key
3. openssl pkcs12 -export -in domain.crt -info domain.key > server.p12
4. keytool -importkeystore -srckeystore server.p12 -destkeystore keystore.key -srcstoretype pkcs12

Portanto, embora eu tenha importado os certificados intermediários primário e secundário, parece que eles não fazem parte da cadeia com o pkcs12 importado para gerar a cadeia de certificados.

Mensagem de erro que vem do verificador de SSL

Please install or replace the following intermediate CA certificates on your Web or Application server and perform this test again.

------Certificate 2------

--Issued To-- Organization: Thawte, Inc.

Organizational Unit: Domain Validated SSL

Common Name: Thawte DV SSL

CA Country: US

--Issued By-- Organization: thawte, Inc.

Organizational Unit: (c) 2006 thawte, Inc. - For authorized use only

Organizational Unit 2: Certification Services Division

Common Name: thawte Primary Root CA Country: US

    

Answer 1

Algumas aplicações (não me lembro se o Tomcat é uma delas) gostam de ter a cadeia de certificados como parte da mesma entrada de armazenamento de chaves do seu certificado de servidor, em vez de itens separados.

Para fazer isso, remova primeiro os dois certificados de CA do keystore:

keytool -delete -alias Primary -keystore keystore.key
keytool -delete -alias Secondary -keystore keystore.key

Em seguida, crie um arquivo PKCS # 7 contendo seu certificado com sua cadeia CA:

openssl crl2pkcs7 -nocrl -certfile domain.crt -certfile Secondary.crt \
  -certfile Primary.crt -out domain.p7b

Em seguida, importe-o para o seu keystore existente (isso substituirá o certificado, mas manterá a chave privada existente):

keytool -importcert -alias domain -file domain.p7b -keystore keystore.key 

Certifique-se de que o alias especificado corresponda ao alias da chave cert / no keystore.

Agora, uma listagem de keystore ( keytool -list -keystore keystore.key ) deve mostrar o certificado, com sua cadeia CA, como uma única entrada de keystore.