durante l'importazione di un certificato con keytool, perché per usare trustcacerts opzione

Question

keytool -import -trustcacerts

Sono confuso con questo trustcacerts possibilità di keytool

quando ho googled su questo ho scoperto che questi punti

1. A seconda della situazione, potrebbe non essere necessaria l'opzione -trustcacerts. Prova l'operazione senza, se vuoi.

L'argomento -trustcacerts indica keytool che si desidera importare come certificato attendibile.

Utilizzare il file cacerts per ottenere certificati attendibili dalle autorità di certificazione che hanno firmato il certificato che viene importato.

Finalmente ho scoperto che, questo trustcacerts è facoltativo, ma ho avuto una query di seguito anche

in generale qualsiasi sviluppatore/CEO del sito web vuole che il loro sito per essere belived dai Clienti, allora perché fare dobbiamo specificarlo esplicitamente con il comando keytool ??

Grazie

Answer 1

Quando si importa un certificato diverso da un certificato di origine auto-firmato (ad esempio certificati intermedi), keytool cerca di costruire e validare un percorso certificato di corretta prima.

Se si utilizza il parametro trustcacerts, poi per la costruzione del percorso, keytool sarà non prendere in considerazione solo i certificati già contenute nel negozio di fiducia, ma prenderà in considerazione inoltre i certificati contenuti nella cacerts chiavi (questo file si trova nella la cartella lib/security della tua installazione JRE). I certificati in cacerts sono una sorta di elenco di attendibilità predefinito, i certificati radice ufficialmente attendibili (simile agli elenchi che il browser considera attendibili per impostazione predefinita).

L'opzione non è realmente necessaria in quanto è sempre possibile forzare l'importazione per un certificato. Inoltre, non ha senso quando si importa un certificato di root autofirmato, poiché in questa situazione non è possibile creare un percorso certificato: si è sicuri o meno di una radice.

Ma può essere una caratteristica piacevole se si sa che il certificato importato deve essere rilasciato da uno dei certificati contenuti nella cacerts - keytool sarebbe avviserà se ancora non poteva costruire e validare un intero percorso di certificazione - che sarebbe più potrebbe essere un avvertimento che qualcosa non è giusto con il certificato che hai provato ad importare.