如何使用Java将RSA私钥对存储至PKCS#12密钥库？

要把已有的RSAPrivateCrtKey存入PKCS#12密钥库，核心是要给私钥绑定一个证书（PKCS#12要求密钥条目必须关联证书链），如果没有现成证书，可以生成自签X.509证书。以下是完整实现步骤：

步骤1：初始化PKCS#12密钥库 #

首先创建并加载PKCS#12类型的密钥库实例：

KeyStore pkcs12KeyStore = KeyStore.getInstance("PKCS12");
// 初始化空密钥库，null表示空库，第二个参数为密钥库密码
pkcs12KeyStore.load(null, "keystorePassword".toCharArray());

步骤2：生成自签X.509证书 #

PKCS#12不允许单独存储私钥，必须绑定证书，这里用已有私钥生成自签证书：

import java.security.cert.X509Certificate;
import java.security.spec.RSAPublicKeySpec;
import java.util.Date;
import javax.security.auth.x500.X500Principal;
import java.security.KeyFactory;
import java.security.PublicKey;
import java.security.cert.X509CertImpl;
import java.security.cert.X509CertInfo;
import java.security.cert.AlgorithmId;

// 从私钥导出公钥
RSAPublicKeySpec publicKeySpec = new RSAPublicKeySpec(
    privateCrtKey.getModulus(),
    privateCrtKey.getPublicExponent()
);
KeyFactory keyFactory = KeyFactory.getInstance("RSA");
PublicKey publicKey = keyFactory.generatePublic(publicKeySpec);

// 构建自签证书核心信息
X500Principal principal = new X500Principal("CN=Self-Signed RSA Key, OU=MyTeam, O=MyCompany, L=Shanghai, ST=Shanghai, C=CN");
Date startDate = new Date();
Date endDate = new Date(startDate.getTime() + 365L * 24 * 60 * 60 * 1000); // 有效期1年

X509CertInfo certInfo = new X509CertInfo();
certInfo.set(X509CertInfo.VALIDITY, new X509CertInfo.Validity(startDate, endDate));
certInfo.set(X509CertInfo.SERIAL_NUMBER, new X509CertInfo.SerialNumber(new java.math.BigInteger(64, new java.security.SecureRandom())));
certInfo.set(X509CertInfo.SUBJECT, principal);
certInfo.set(X509CertInfo.ISSUER, principal); // 自签证书发行方与主体一致
certInfo.set(X509CertInfo.KEY, new X509CertInfo.Key(publicKey));
certInfo.set(X509CertInfo.VERSION, new X509CertInfo.CertificateVersion(X509CertInfo.V3));
certInfo.set(X509CertInfo.ALGORITHM_ID, new X509CertInfo.AlgorithmId(
    AlgorithmId.sha256WithRSAEncryption_oid,
    new AlgorithmId(AlgorithmId.rsaEncryption_oid)
));

// 用私钥签名证书
X509CertImpl cert = new X509CertImpl(certInfo);
cert.sign(privateCrtKey, "SHA256withRSA");

步骤3：将密钥和证书存入密钥库 #

创建密钥条目，把私钥、证书链（自签证书仅需一个元素）存入密钥库：

// 构建证书链
Certificate[] certChain = new Certificate[]{cert};
// 创建私钥条目，参数依次为：私钥、条目密码、证书链
KeyStore.PrivateKeyEntry privateKeyEntry = new KeyStore.PrivateKeyEntry(privateCrtKey, certChain);
// 存入密钥库，指定别名、条目实例、密码保护
pkcs12KeyStore.setEntry("myRsaPrivateKey", privateKeyEntry, new KeyStore.PasswordProtection("entryPassword".toCharArray()));

步骤4：保存密钥库到文件 #

最后把密钥库写入磁盘文件：

try (FileOutputStream fos = new FileOutputStream("my_rsa_keystore.p12")) {
    pkcs12KeyStore.store(fos, "keystorePassword".toCharArray());
}

关键注意事项 #

• PKCS#12的密钥库密码和条目密码可以相同，也可以分开设置，根据安全需求调整。
• 自签证书仅用于满足密钥库的绑定要求，生产环境如需信任，建议使用CA签发的合法证书。
• 避免使用SHA1等弱签名算法，优先选择SHA256及以上的安全算法。

内容的提问来源于stack exchange，提问作者Martin Müller