Класс KeyStore

public class KeyStore
extends Object

Этот класс представляет собой хранилище криптографических ключей и сертификатов.

A KeyStore управляет различными типами записей. Каждый тип записи реализует интерфейс KeyStore.Entry. Предоставляются три основных реализации KeyStore.Entry:

• KeyStore.PrivateKeyEntry

  Этот тип записи содержит криптографический PrivateKey, который при необходимости хранится в защищенном формате для предотвращения несанкционированного доступа. Он также сопровождается цепочкой сертификатов для соответствующего открытого ключа.

  Защищенные ключи и цепочки сертификатов используются данной сущностью для самоаутентификации. Примерами применения такой аутентификации являются организации по распространению программного обеспечения, которые подписывают JAR-файлы в рамках выпуска и/или лицензирования программного обеспечения.

• KeyStore.SecretKeyEntry

  Этот тип записи содержит криптографический SecretKey, который при необходимости хранится в защищенном формате для предотвращения несанкционированного доступа.

• KeyStore.TrustedCertificateEntry

  Этот тип записи содержит единственный открытый ключ Certificate принадлежащий другой стороне. Он называется доверенным сертификатом, потому что владелец хранилища доверяет, что открытый ключ в сертификате действительно принадлежит идентичности, указанной в субъекте (владельце) сертификата.

  Этот тип записи может использоваться для аутентификации других сторон.

Каждая запись в хранилище идентифицируется строкой "псевдонима". В случае с закрытыми ключами и связанными с ними цепочками сертификатов эти строки различают различные способы аутентификации сущности. Например, сущность может аутентифицировать себя с помощью различных центров сертификации или с использованием различных алгоритмов открытого ключа.

Являются ли псевдонимы чувствительными к регистру, зависит от реализации. Для избежания проблем рекомендуется не использовать псевдонимы в хранилище, которые различаются только регистром.

Являются ли хранилища персистентными, и какие механизмы использует хранилище, если оно персистентно, здесь не оговаривается. Это позволяет использовать различные методы для защиты конфиденциальных (например, закрытых или секретных) ключей. Умные карты или другие интегрированные криптографические модули (SafeKeyper) — один из вариантов, и могут использоваться более простые механизмы, такие как файлы (в различных форматах).

Типичные способы запроса объекта KeyStore включают указание существующего файла хранилища, использование значения по умолчанию и предоставление определенного типа хранилища.

• Для указания существующего файла хранилища:

  // get keystore password
      char[] password = getPassword();
  
      // probe the keystore file and load the keystore entries
      KeyStore ks = KeyStore.getInstance(new File("keyStoreName"), password);

  Система проверит указанный файл, чтобы определить его тип хранилища и вернет реализацию хранилища с уже загруженными записями. Когда используется этот подход, нет необходимости вызывать метод load хранилища.
• Для использования значения по умолчанию:

  KeyStore ks = KeyStore.getInstance(KeyStore.getDefaultType());

  Система вернет реализацию хранилища для типа по умолчанию.
• Для предоставления определенного типа хранилища:

  KeyStore ks = KeyStore.getInstance("JKS");

  Система вернет наиболее предпочтительную реализацию указанного типа хранилища, доступную в среде.

Перед доступом к хранилищу его необходимо loaded (если оно не было загружено во время создания).

KeyStore ks = KeyStore.getInstance(KeyStore.getDefaultType());

    // get user password and file input stream
    char[] password = getPassword();

    try (FileInputStream fis = new FileInputStream("keyStoreName")) {
        ks.load(fis, password);
    }

Для создания пустого хранилища с помощью вышеописанного метода load, передайте null в качестве аргумента InputStream.

После загрузки хранилища можно прочитать существующие записи из хранилища или записать новые записи в хранилище:

KeyStore.ProtectionParameter protParam =
        new KeyStore.PasswordProtection(password);

    // get my private key
    KeyStore.PrivateKeyEntry pkEntry = (KeyStore.PrivateKeyEntry)
        ks.getEntry("privateKeyAlias", protParam);
    PrivateKey myPrivateKey = pkEntry.getPrivateKey();

    // save my secret key
    javax.crypto.SecretKey mySecretKey;
    KeyStore.SecretKeyEntry skEntry =
        new KeyStore.SecretKeyEntry(mySecretKey);
    ks.setEntry("secretKeyAlias", skEntry, protParam);

    // store away the keystore
    try (FileOutputStream fos = new FileOutputStream("newKeyStoreName")) {
        ks.store(fos, password);
    }

Обратите внимание, что хотя для загрузки хранилища, защиты записи закрытого ключа, защиты записи секретного ключа и сохранения хранилища (как показано в примере кода выше) может использоваться один и тот же пароль, также могут использоваться разные пароли или другие параметры защиты.

Каждая реализация платформы Java обязана поддерживать следующий стандартный тип KeyStore:

• PKCS12

Этот тип описан в разделе KeyStore спецификации Java Security Standard Algorithm Names. Обратитесь к документации выпуска вашей реализации, чтобы узнать, поддерживаются ли какие-либо другие типы.