● Java Keystore 를 사용하여 키로 작업하기
키로 작업하는 세번째 방법은 Java Keystore 로부터 키를 저장하고 획득하는 방법이다.
keytool 을 사용하여 private / public 키 쌍을 생성하려면 keystore 지정이 필요하다.
Java keystore 로 작업하는 많은 개발자들이 어려워하고 종종 용어 사용이 혼란스럽다고들한다.
이는 키를 다루고 인증 처리 기술을 설명하는 정보의 양이 방대하기 때문이다.
첫째로 알아두어야 할 것은 keystore 와 truststore 에는 차이가 있다는 것이다.
- keystore 는 private 키들과 public 키에 상응하는 인증서(certificates)를 담고 있다.
- truststore 에는 암호화하거나 디지털 지문을 검증하길 원하는 다른 기관(other parties)으로부터 받은
인증서(certificates)들과 신뢰하는 기관의 권한 인증서(Certificate Authorities (CAs))를 담고 있다.
jre/lib/security/cacerts 파일이 truststore 파일이다.
아래 keytool 명령어는 키 쌍을 생성하여 keystore 에 저장한다.
● Keystore Key Pair
[shell] keytool -genkey -keyalg RSA -keysize 2048 -keystore "keystore.jks" \
-alias yourkeyalias \
-storepass yourstorepassword \
-keypass yourkeypassword \
-dname "CN=Your Full Name, OU=Your Department Name, O=Your Company Name, L=Your City, S=Your State, C=Your Country Code"
기본적으로 RSA 알고리듬의 키 길이는 1024 비트로 제한된다.
2048 비트 키 획득을 위해선 Java Cryptography Extension (JCE) Unlimited Strength Jurisdiction Policy Files 6 를 다운로드 받아야 한다.
http://www.oracle.com/technetwork/java/javase/downloads/jce-6-download-429243.html
아래 keytool 명령어는 public key 를 포함하는 인증서를 추출한다.
● Export Certificate
[shell] keytool -exportcert -keystore "keystore.jks" \
-alias yourkeyalias \
-storepass yourstorepassword \
-keypass yourkeypassword \
-file "public.cer"
OpenSSL 을 사용한 private key 로부터 생성한 public key 와는 다르다는 것을 기억하자.
이 파일은 실제 X.509 certificate 이다.
다른 기관으로 인증서를 전송하고 truststore 에 임포트할 수 있는 옵션도 있다.
또한 아래 openssl 명령을 사용하여 인증서로부터 public key 를 추출할 수도 있다.
● Public Key
[shell] openssl x509 -inform der -in "public.cer" -pubkey -noout | \
openssl pkey -pubin -outform der > "public2.key"
Keep in mind the other party is trusting that the certificate is yours based upon your word alone.
There has been no chain of trust by signing your certificate with an established third party CA.
However, depending upon your application needs and implementation details this may not be a requirement.
Reading keys and certificates from a truststore and keystore using Java is not covered in this revision.
|
