问如何使用自签名证书创建密钥库和信任库？

EN

我们有JAVA服务器和客户端使用SSL在网络上进行通信。服务器和客户端使用证书相互验证。服务器和客户端使用的keystore类型是JKS。服务器和客户端的密钥库和信任库文件名为: server.keystore、server.truststore、client.keystore和client.truststore。

我只使用自我签署的证书进行测试.

问题：

Q1。我想知道为什么在步骤6中我需要将服务器和客户端自己的证书添加到他们各自的信任库中。

Q2。我可以减少步骤数来实现同样的目标吗？如果是，那怎么做？

步骤为服务器创建RSA密钥、自签名证书、密钥存储库和信任存储库。

1.生成一个私用RSA密钥

openssl genrsa -out diagserverCA.key 2048

2.创建x509证书

openssl req -x509 -new -nodes -key diagserverCA.key -sha256 -days 1024 -out diagserverCA.pem

3.从私钥和公共证书创建PKCS12密钥存储库.

openssl pkcs12 -export -name server-cert -in diagserverCA.pem -inkey diagserverCA.key -out serverkeystore.p12

4.将PKCS12密钥库转换为JKS密钥存储库

关键工具-importkeystore -destkeystore server.keystore -srckeystore serverkeystore.p12 -srcstoretype pkcs12 -alias服务器-cert

5.将客户端证书导入服务器的信任存储区.

关键工具-import -alias client-cert -file diagclientCA.pem -keystore server.truststore

6.将服务器的证书导入服务器的信任存储区.

关键工具-import -alias server-cert -file diagserverCA.pem -keystore server.truststore

步骤为客户端创建RSA私钥、自签名证书、密钥存储库和信任存储库。

1.生成私钥

openssl genrsa -out diagclientCA.key 2048

2.创建x509证书

openssl req -x509 -new -nodes -key diagclientCA.key -sha256 -days 1024 -out diagclientCA.pem

3.从私钥和公共证书创建PKCS12密钥存储库.

openssl pkcs12 -export -name client-cert -in diagclientCA.pem -inkey diagclientCA.key -out clientkeystore.p12

4.将PKCS12密钥库转换为JKS密钥存储库

关键工具-importkeystore -destkeystore client.keystore -srckeystore clientkeystore.p12 -srcstoretype pkcs12 -alias client-cert

5.将服务器证书导入客户端的信任存储区.

关键工具-import -alias server-cert -file diagserverCA.pem -keystore client.truststore

6.将客户端证书导入到客户端的信任存储区.

关键工具-import -alias client-cert -file diagclientCA.pem -keystore client.truststore