使用YubiHSM与SunPKCS11时，能否向jarsigner指定公钥？

你可以通过以下两种方式实现无需将公钥存入YubiHSM即可让jarsigner完成签名：

1. 使用-certchain参数指定本地证书链 #

jarsigner支持通过-certchain参数直接读取本地的证书链文件，无需依赖HSM中存储的公钥/证书。具体操作如下：

• 将你的4096位代码签名证书（包含完整信任链，从自身到根CA）保存为本地文件（格式支持PEM、DER或PKCS#7）。
• 执行签名命令时，指定该证书链文件，同时通过PKCS11配置指向YubiHSM中的私钥：

jarsigner -keystore NONE -storetype PKCS11 -providerClass sun.security.pkcs11.SunPKCS11 -providerArg pkcs11.cfg -certchain my-code-sign-cert-chain.pem my-app.jar "hsm-private-key-alias"

解释：

• -keystore NONE：表明不需要本地密钥库，私钥从PKCS11设备（YubiHSM）获取
• -certchain：指定本地存储的证书链文件，jarsigner会从中提取公钥用于生成签名块
• 最后的别名要与YubiHSM中存储的代码签名私钥的别名完全匹配

2. 利用PKCS11属性映射关联外部证书 #

部分PKCS11驱动支持通过配置将本地证书与HSM中的私钥关联，无需将证书上传至HSM。你可以在pkcs11.cfg中添加类似配置：

name = YubiHSM
library = /path/to/yubihsm-pkcs11.so
attributes(*,*,*) = {
  CKA_CLASS = CKO_CERTIFICATE
  CKA_TOKEN = false
  CKA_LABEL = "my-code-sign-cert"
  CKA_VALUE = /path/to/my-code-sign-cert.pem
}

配置完成后，jarsigner会通过PKCS11驱动自动关联该证书与对应私钥，无需额外指定参数。

注意事项 #

• 确保pkcs11.cfg的路径和驱动库路径正确，且YubiHSM设备已正常连接并被系统识别
• 本地证书链文件需包含完整的信任链，否则签名后的JAR可能无法通过验证
• 签名完成后可使用jarsigner -verify my-app.jar命令验证签名有效性

内容的提问来源于stack exchange，提问作者Appleoddity