Question

2007年，我编写了一个小型Java应用程序，可以对几个不同的PDF文档进行数字签名（带有我签名的图像）。在升级到Java 8之前，我一直很努力。

我现在遇到错误：

IOException: Unable to read private key from keystore
e: java.io.IOException: unsupported PKCS12 secret value type 48

我现在看来Java 8 PKCS12无法存储密钥条目。这对我来说是一个至关重要的应用。我每天使用它数百次。

如何解决此问题？

以下是关键代码的简略版本：

String appPath =  SignPDF.class.getProtectionDomain().getCodeSource().getLocation().getPath();

String keytype  =  "pkcs12";
String keyfile  =  appPath + "DanVokt.pfx";
String keyimage =  appPath + "DanVokt.png";
String keypass  =  "xxxxxxxxx";

KeyStore ks = KeyStore.getInstance(keytype);
ks.load(new FileInputStream(keyfile), keypass.toCharArray());
String alias = (String)ks.aliases().nextElement();
PrivateKey key = (PrivateKey)ks.getKey(alias, keypass.toCharArray());
Certificate[] chain = ks.getCertificateChain(alias);

PdfReader reader = new PdfReader(ifile);
FileOutputStream fout = new FileOutputStream(ofile);

PdfStamper stp = PdfStamper.createSignature(reader, fout, '\0');
PdfSignatureAppearance sap = stp.getSignatureAppearance();
sap.setCrypto(key, chain, null, PdfSignatureAppearance.SELF_SIGNED);

// allow only printing
stp.setEncryption(null, keypass.getBytes(), PdfWriter.ALLOW_PRINTING,
                  PdfWriter.STANDARD_ENCRYPTION_128);
stp.close();

这是一个堆栈节点：

$ signpdf "Timelog*" 1
Processing File: "Timelog - Current Week.pdf" 1
IOException: Unable to read private key from keystore
java.io.IOException: unsupported PKCS12 secret value type 48
    at sun.security.pkcs12.PKCS12KeyStore.loadSafeContents(PKCS12KeyStore.java:2197)
    at sun.security.pkcs12.PKCS12KeyStore.engineLoad(PKCS12KeyStore.java:2025)
    at java.security.KeyStore.load(KeyStore.java:1445)
    at SignPDF.main(SignPDF.java:61)

以下是版本和版本：

$ java -version
java version "1.8.0_131"
Java(TM) SE Runtime Environment (build 1.8.0_131-b11)
Java HotSpot(TM) 64-Bit Server VM (build 25.131-b11, mixed mode)

尝试使用keytool查看PKCS12（.pfx）文件：

$ keytool -list -keystore DanVokt.pfx -storepass XXXXXXXX -storetype PKCS12 -v
keytool error: java.io.IOException: unsupported PKCS12 secret value type 48
java.io.IOException: unsupported PKCS12 secret value type 48
    at sun.security.pkcs12.PKCS12KeyStore.loadSafeContents(PKCS12KeyStore.java:2197)
    at sun.security.pkcs12.PKCS12KeyStore.engineLoad(PKCS12KeyStore.java:2025)
    at java.security.KeyStore.load(KeyStore.java:1445)
    at sun.security.tools.keytool.Main.doCommands(Main.java:795)
    at sun.security.tools.keytool.Main.run(Main.java:343)
    at sun.security.tools.keytool.Main.main(Main.java:336)

Answer 1

我做了一些挖掘。这些更改似乎是一些Keystore API增强功能的一部分。（他们在2013年1月committed）

具体测试如下：

        } else if (bagId.equals((Object)SecretBag_OID)) {
            DerInputStream ss = new DerInputStream(bagValue.toByteArray());
            DerValue[] secretValues = ss.getSequence(2);
            ObjectIdentifier secretId = secretValues[0].getOID();
            if (!secretValues[1].isContextSpecific((byte)0)) {
                throw new IOException(
                    "unsupported PKCS12 secret value type "
                                    + secretValues[1].tag);
            }

其中!(isContextSpecific()正在检查DERvalue的“标记”，以确保它没有设置CONTEXT位。这个测试失败了。

似乎解决办法是将这些密钥存储为DER值，其标记类型没有设置位0x80。

另见：

PKCS12KeyStore.java - https://github.com/frohoff/jdk8u-jdk/blob/master/src/share/classes/sun/security/pkcs12/PKCS12KeyStore.java
DERValue.java - https://github.com/frohoff/jdk8u-jdk/blob/master/src/share/classes/sun/security/util/DerValue.java

Answer 2

[解决]

我创建了一个java密钥库（JKS）文件：

keytool -genkey -keyalg RSA -keysize 2048 -keystore danv_keystore.jks -alias danv

当然，这会创建一个新的私钥和新证书，但由于它是自签名的，因此目前不是问题。我对如何使用自己的私钥和证书感到有点困惑。有什么例子吗？

然后我只是更改了keytype和keyfile：

//        String keytype  =  "pkcs12";
        String keytype  =  "JKS";
//        String keyfile  =  appPath + "DanVokt.pfx";
        String keyfile  =  appPath + "danv_keystore.jks";

瞧！它现在再次运作。

我在J8和J7下编译它，它适用于两种环境。

谢谢！

Java 8破坏了我使用PKCS12的应用程序

2 个答案: