證書
證書（也叫公鑰證書）是來自某個實體（簽發人）的經數字簽名的聲明，它聲明另一實體（主體）的公鑰（及其它信息）具有某一特定的值。
下面詳細解釋本句中使用的主要術語：
公鑰
是與特定實體相關聯的數字。所有需要與該實體進行信任交互的人都應知道該數字。公鑰用于校驗簽名。
經數字簽名
如果某些數據經數字簽名，說明它們已與某一實體的“身份”存儲在一起，而且證明該實體的簽名知道這些數據。通過用該實體的私鑰進行繪制，這些數據就是不可偽造的了。
身份
用于聲明實體的一種手段。某些系統中，身份是公鑰，而在另一些系統中則可以是 Unix UID、電子郵件地址或 X.509 特征名等等。
簽名
所謂簽名，就是用實體的（簽名人，在證書中也稱為簽發人）私鑰對某些數據進行計算。
私鑰
是一些數字，每個數字都應僅被以該數字作為私鑰的特定實體所知（即該數字應保密）。在所有公鑰密碼系統中，私鑰和公鑰均成對出現。在 DSA 等具體的公鑰密碼系統中，一個私鑰只對應一個公鑰。私鑰用于計算簽名。
實體
實體是您在某種程度上對其加以信任的個人、組織、程序、計算機、企業、銀行等。
通常，公鑰密碼系統需要訪問用戶的公鑰。在大型聯網環境中，并不能確保通信實體之間已經預先建立起關系，也無法確保受信任的儲存庫與所用的公鑰都存在。于是人們發明了證書作為公鑰分配問題的解決辦法。現在，認證機構 (CA) 可充當可信任的第三方。CA 是可信任的向其它實體簽名（發放）證書的實體（例如企業）。由于 CA 受法律協議約束，因此可認為它們只提供可靠有效的證書。公共認證機構數量很多，例如 VeriSign、Thawte、Entrust 等等。您還可以使用諸如 Netscape/Microsoft Certificate Servers 或 Entrust CA 等產品來自己運營認證機構。
使用 keytool 可以顯示、導入和導出證書。還可以產生自簽名證書。
keytool 目前處理 X.509 證書。
X.509 證書
X.509 標準規定了證書可以包含什么信息，并說明了記錄信息的方法（數據格式）。除了簽名外，所有 X.509 證書還包含以下數據：
版本
識別用于該證書的 X.509 標準的版本，該版本影響證書中所能指定的信息。迄今為止，已定義的版本有三個。keytool 可導入和導出 v1、v2 和 v3 版的證書。它只能生成 v1 版證書。
序列號
發放證書的實體有責任為證書指定序列號，以使其區別于該實體發放的其它證書。此信息用途很多。例如，如果某一證書被撤消，其序列號將放到證書撤消清單 (CRL) 中。
簽名算法標識符
用于標識 CA 簽名證書時所用的算法。
簽發人名稱
簽名證書的實體的 X.500 特征名。它通常為一個 CA。使用該證書意味著信任簽名該證書的實體。注意：有些情況下（例如根或頂層 CA 證書），簽發人會簽名自己的證書。
有效期
每個證書均只能在一個有限的時間段內有效。該有效期以起始日期和時間及終止日期和時間表示，可以短至幾秒或長至一世紀。所選有效期取決于許多因素，例如用于簽名證書的私鑰的使用頻率及愿為證書支付的金錢等。它是在沒有危及相關私鑰的條件下，實體可以依賴公鑰值的預計時間。
主體名
證書可以識別其公鑰的實體名。此名稱使用 X.500 標準，因此在Internet中應是唯一的。它是實體的 X.500 特征名 (DN)，例如，
CN=Java Duke, OU=Java Software Division, O=Sun Microsystems Inc, C=US
（這些指主體的通用名、組織單位、組織和國家。）
主體公鑰信息
這是被命名實體的公鑰，同時包括指定該密鑰所屬公鑰密碼系統的算法標識符及所有相關的密鑰參數。
X.509 1 版 1988 年發布，已得到廣泛使用，是最常用的版本。
X.509 2 版引入了主體和簽發人唯一標識符的概念，以解決主體和/或簽發人名稱在一段時間后可能重復使用的問題。大多數證書監視文檔都極力建議不要重復使用主體或簽發人名稱，而且建議證書不要使用唯一標識符。版本 2 證書尚未得到廣泛使用。
X.509 3 版是最新的版本（1996 年）。它支持擴展的概念，因此任何人均可定義擴展并將其納入證書中。現在常用的擴展包括：KeyUsage（僅限密鑰用于特殊目的，例如“只簽名”）和 AlternativeNames（允許其它身份也與該公鑰關聯，例如 DNS 名、電子郵件地址、IP 地址）。擴展可標記為“極重要”，以表示該擴展應被檢查并執行或使用。例如，如果某一證書將 KeyUsage 擴展標記為“極重要”，而且設置為“keyCertSign”，則在 SSL 通訊期間該證書出現時將被拒絕，因為該證書擴展表示相關私鑰應只用于簽名證書，而不應該用于 SSL。
證書中的所有數據均用兩個名為 ASN.1/DER 的相關標準進行編碼。抽象語法注釋 1 (Abstract Syntax Notation 1) 描述數據。確定性編碼規則 (Definite Encoding Rules) 描述儲存和傳輸該數據的唯一方式。
X.500 特征名
X.500 特征名用于標識實體，例如 X.509 證書的 主體和簽發人（簽名人）域所命名的實體。keytool 支持以下的子組件：
commonName - 個人常用名，例如“Susan Jones”
organizationUnit - 小型組織（例如部門或分部）的名稱，例如“Purchasing”
organizationName - 大型組織的名稱，例如“ABCSystems, Inc.”
localityName - 地方（城市）名，例如“Palo Alto”
stateName - 州或省份名，例如“California”
country - 兩個字母的國家代碼，例如“CH”
當給出一個特征名字符串作為 -dname 選項的值時，例如 -genkey 或 -selfcert 命令中的該選項，字符串必須為以下格式：
CN=cName, OU=orgUnit, O=org, L=city, S=state, C=countryCode
其中所有的斜體字代表實際值而上面的關鍵字是以下縮寫：
CN=commonName
OU=organizationUnit
O=organizationName
L=localityName
S=stateName
C=country
以下是特征名字符串樣本：
CN=Mark Smith, OU=JavaSoft, O=Sun, L=Cupertino, S=California, C=US
以下是使用這一字符串的樣本命令：
keytool -genkey -dname "CN=Mark Smith, OU=JavaSoft, O=Sun, L=Cupertino,
S=California, C=US" -alias mark
大小寫對關鍵字縮寫無關緊要。例如，“CN”、“cn”和“Cn”都將被當作是一樣的。
但順序是有關系的；每個子組件必須按設計好的順序出現。但是，不是所有子組件都必須有。可以只用一部分，例如：
CN=Steve Meier, OU=SunSoft, O=Sun, C=US
如果特征名字符串的值含有逗號，當在命令行指定該字符串時，逗號必須用“\”字符來進行轉義，如下所示：
cn=peter schuster, o=Sun Microsystems\, Inc., o=sun, c=us
在命令行中指定特征名字符串是不必要的。如果某一命令需要指定特征名字符串，而在命令行中又未提供，則用戶將得到每個子組件的提示。這種情況下，逗號不需要用“\”來轉義。
Internet RFC 1421 證書編碼標準
證書常用 Internet RFC 1421 標準中定義的可打印的編碼格式來存儲，而不是用其二進制編碼來存儲。這種證書格式，也稱“Base 64 編碼”，便于通過電子郵件或其它機制將證書導出到別的應用程序中。
用 -import 和 -printcert 命令讀入的證書可以是這種格式的編碼或是二進制格式的編碼。
缺省情況下，-export 命令將以二進制編碼格式輸出證書，但如果指定了 -rfc 選項，則將以可打印的編碼格式輸出證書。
缺省情況下，-list 命令打印證書的 MD5 指紋。而如果指定了 -v 選項，將以可讀格式打印證書，如果指定了 -rfc 選項，將以可打印的編碼格式輸出證書。
在其可打印的編碼格式中，已編碼證書的起始行是：
-----BEGIN CERTIFICATE-----
結束行是：
-----END CERTIFICATE-----
證書鏈
keytool 可創建和管理密鑰倉庫的“密鑰”項，每個密鑰項都含有私鑰和相關證書“鏈”。鏈中的第一個證書含有與私鑰對應的公鑰。
當第一次產生密鑰時（參見 -genkey 命令），鏈中只含有一個元素，即自簽名證書。自簽名證書是一個這樣的證書：其簽發人（簽名人）與主體（證書所認證的公鑰所屬的實體）相同。當調用 -genkey 命令來生成新的公鑰/私鑰對時，它同時也把公鑰打包進自簽名證書中。
之后，當證書簽名請求 (CSR) （參見 -certreq 命令）被生成并送至認證機構 (CA) 后，CA 的答復將被導入（參見 -import），證書鏈將取代自簽名證書。在鏈的底部是認證主體公鑰的 CA 所發放的證書（答復）。鏈中下一個證書是用于認證 CA 公鑰的證書。
在許多情況下，這是個自簽名證書（即來自認證其自身公鑰的 CA 的證書）且是鏈中的最后一個證書。在其它情況下，CA 也許將返回證書鏈。這種情況下，鏈中底部的證書是相同的（由 CA 簽名的證書，對密鑰項的公鑰進行認證），但鏈中第二個證書是由不同的 CA 所簽名的，對您向其發送 CSR 的 CA 的公鑰進行認證。然后，鏈中的下一個證書將是對第二個 CA 的公鑰進行認證的證書，以此類推，直至到達自簽名的“根”證書為止。因此，鏈中的每個證書（從第一個以后）都對鏈中前一個證書的簽名人的公鑰進行認證。
許多 CA 只返回所發放的證書，而不支持鏈，特別是當層次結構較簡單時（無中介 CA）。這種情況下，必須用儲存在密鑰倉庫中的可信任的證書信息來建立證書鏈。
另一種答復格式（由 PKCS#7 標準所定義）除了包含所簽發的證書外，還支持證書鏈。兩種答復格式都可由 keytool 處理。
頂層（根）CA 證書是自簽名的。但是，對根公鑰的信任并非來自根證書本身（任何人都可用特征名來產生自簽名證書！譬如說用 VeriSign 根 CA 的特征名）, 而是來自報紙之類的其它來源。根 CA 的公鑰是廣為人知的。它被儲存在證書中的唯一原因是因為這是大多數工具所能理解的格式，因此這種情況下的證書只是作為一種傳輸根 CA 的公鑰用的“交通工具”。在將根 CA 證書加到您的密鑰倉庫中之前，應該先對它進行查看（用 -printcert 選項）并將所顯示的指紋與已知的指紋（從報紙、根 CA 的網頁等中獲取）進行比較。
導入證書
要從一個文件中導入某個證書，可用 -import 命令，如下所示：
keytool -import -alias joe -file jcertfile.cer
此樣本命令導入文件 jcertfile.cer 中的證書并將其存儲在由別名 joe 標識的密鑰倉庫項中。
導入證書的兩個理由如下：
為將其添加到可信任的證書清單中，或
為導入因向 CA 提交證書簽名請求（參見 -certreq 命令）而收到的來自該 CA 的認證答復。
-alias 選項的值指明要進行何種類型的導入。如果數據庫中存在別名，且該別名標識具有私鑰的項，則將假定您要導入認證答復。keytool 將檢查認證答復中的公鑰是否與用別名儲存的私鑰相匹配，如果兩者不同，則程序退出。如果別名標識另一種類型的密鑰倉庫項，則不導入該證書。如果該別名不存在，則它將被創建并與導入的證書關聯。
有關導入可信任證書的警告
重要：將證書作為可信任的證書導入之前，請務必先仔細檢查該證書！
先查看一下（用 -printcert 命令，或用不帶 -noprompt 選項的 -import 命令），確保所顯示的證書指紋與所預計的相匹配。例如，假設某人給您送來或用電子郵件發來一個證書，您將它放在名為 /tmp/cert 的文件中。在將它加到可信任證書的清單中之前，可通過執行 -printcert 命令來查看它的指紋，如下所示：
keytool -printcert -file /tmp/cert
Owner: CN=ll, OU=ll, O=ll, L=ll, S=ll, C=ll
Issuer: CN=ll, OU=ll, O=ll, L=ll, S=ll, C=ll
Serial Number: 59092b34
Valid from: Thu Sep 25 18:01:13 PDT 1997 until: Wed Dec 24 17:01:13 PST 1997
Certificate Fingerprints:
MD5： 11:81:AD:92:C8:E5:0E:A2:01:2E:D4:7A:D7:5F:07:6F
SHA1: 20:B6:17:FA:EF:E5:55:8A:D0:71:1F:E8:D6:9D:C0:37:13:0E:5E:FE
然后給向您發送證書的人打電話或用其它方式聯系，將您將您所看到的指紋與他們所提供的比較。只有兩者相等才可保證證書在傳送途中沒有被其它人（例如，攻擊者）的證書所更換。如果發生了這樣的攻擊，而您未檢查證書即將其導入，您就會信任攻擊者所簽名的任何東西（例如，一個含有惡意類文件的 JAR 文件）。
注意：并不要求在導入證書前執行 -printcert 命令，因為在將證書添加到密鑰倉庫中可信任證書的清單中之前，-import 命令將會打印出該證書的信息，并提示您進行校驗。這時，您可選擇中止導入操作。但是注意，只有在調用不帶 -noprompt 選項的 -import 命令時才能這樣做。如果給出了 -noprompt 選項，則不存在與用戶的交互
導出證書
要將證書導出到文件中，請用 -export 命令，如下所示：
keytool -export -alias jane -file janecertfile.cer
該樣本命令將 jane 的證書導出到文件 janecertfile.cer 中。也就是說，如果 jane 是某個密鑰項的別名，該命令將導出該密鑰倉庫項中所含證書鏈底部的證書。這是認證 jane 的公鑰用的證書。
相反，如果 jane 是某個可信任證書項的別名，則導出的是該可信任的證書。
顯示證書
要打印某個密鑰倉庫項的內容，請用 -list 命令，如下所示：
keytool -list -alias joe
如果未指定別名，如下所示：
keytool -list
則打印整個密鑰倉庫的內容。
要顯示儲存在文件中的證書的內容，請用 -printcert 命令，如下所示：
keytool -printcert -file certfile.cer
這將打印儲存在文件 certfile.cer 中的有關證書的信息。
注意：此操作與密鑰倉庫無關，也就是說，不需要密鑰倉庫即可顯示儲存在文件中的證書。
生成自簽名證書
自簽名證書是一個這樣的證書：其簽發人（簽名人）與主體（證書所認證的公鑰所屬的實體）相同。當調用 -genkey 命令來生成新的公鑰/私鑰對時，它同時也把公鑰打包進自簽名證書中。
有時您也許希望生成新的自簽名證書。例如，您也許想對不同身份（特征名）使用相同的密鑰對。例如，假設您換了個部門。此時您可以：
復制原始的密鑰項。請參見 -keyclone。
用新特征名為該復制項生成新的自簽名證書。參見下文。
為該復制項生成證書簽名請求，并導入答復證書或證書鏈。參見 -certreq 和 -import 命令。
刪除原始（現在已過時）項。參見 -delete 命令。
要生成自簽名證書，請用 -selfcert 命令，如下所示：
keytool -selfcert -alias dukeNew -keypass b92kqmp
-dname "cn=Duke Smith, ou=Purchasing, o=BlueSoft, c=US"
所生成的證書作為指定別名（本例中為“dukeNew”）所標識的密鑰倉庫項中的單元素證書來存儲，它將取代現有的證書鏈。
命令和選項注意事項
下面列出各種命令及其選項，并對它們進行描述。注意：
所有的命令和選項名之前都有減號 (-) 。
每個命令的選項都可按任意順序提供。
所有非斜體項或不在花括號和方括號內的項都不能改動。
選項周圍的花括號通常表示如果在命令行中沒有指定該選項，則使用缺省值。花括號還用在 -v、-rfc 和 -J 選項周圍，這些選項只有在命令行中出現時才有意義（也就是說，它們沒有任何缺省值，不然就是不存在該選項）。
選項周圍的方括號表示如果在命令行中沒有指定該選項，則用戶將得到要求輸入其值的提示。（對于 -keypass 選項，如果在命令行中沒有指定該選項，keytool 將先是嘗試用密鑰倉庫口令來訪問私鑰，如果失敗，再提示您輸入私鑰口令。）
斜體項（選項）代表必須提供實際值。例如，下面是 -printcert 命令的格式：
keytool -printcert {-file cert_file} {-v}
當指定 -printcert 命令時，請用實際文件名來替代 cert_file，如下所示：
keytool -printcert -file VScert.cer
如果選項值含有空白（空格），必須用引號把它們括起來。
-help 命令是缺省命令。因此，命令行
keytool
等價于
keytool -help
選項缺省值
下面是各選項的缺省值。
-alias "mykey"
-keyalg "DSA"
-keysize 1024
-validity 90
-keystore 用戶宿主目錄中名為 .keystore 的文件
-file 讀時為標準輸入，寫時為標準輸出
簽名算法（-sigalg 選項）是由所涉及私鑰的算法推導而來的：如果所涉及的私鑰是“DSA”類型，則 -sigalg 選項將缺省為“帶 DSA 的 SHA1”，如果所涉及的私鑰是“RSA”類型，則 -sigalg 選項將缺省為“帶 RSA 的 MD5”。
出現在大多數命令中的選項
-v 選項可出現在除 -help 之外的所有命令中。如果出現該選項，表示處在“長格式”模式下；將輸出詳細的證書信息。
-Jjavaoption 選項也可在任何命令中出現。如果出現該選項，則所指定的 javaoption 字符串將被直接傳給 Java 解釋器。（keytool 實際上是解釋器周圍的一個 “wrapper”。） 該選項不應含有任何空格。它有助于調整執行環境或內存使用。要獲得可用的解釋器選項的清單，可在命令行鍵入 java -h 或 java -X。
有三個選項可出現在用于操作密鑰倉庫的所有命令中：
-storetype storetype
此限定符指定將被實例化的密鑰倉庫類型。缺省的密鑰倉庫類型是安全屬性文件中“keystore.type”屬性值所指定的那個類型，由 java.security.KeyStore 中的靜態方法 getDefaultType 返回。
-keystore keystore
密鑰倉庫（數據庫文件）的位置。缺省情況下，密鑰倉庫指的是用戶宿主目錄的 .keystore 文件，它是由“user.home”的系統屬性確定的。在 Solaris 系統中，“user.home”缺省為用戶宿主目錄。
-storepass storepass
口令，用來保護密鑰倉庫的完整性。
storepass 的長度必須至少為 6 個字符。所有訪問密鑰倉庫內容的命令都必須提供這一選項。對于這些命令，如果沒有給出 -storepass 選項，則用戶將得到要求輸入該選項的提示。
當從密鑰倉庫中檢索信息時，口令屬于可選項；如果未給出口令，就不能檢查所檢索信息的完整性，而且將出現警告。
使用口令時必須小心 - 參見與口令有關的警告。
與口令有關的警告
大多數對密鑰倉庫操作的命令都要求倉庫口令。一些命令要求私鑰口令。
口令可以在命令行上（分別在 -storepass 和 -keypass 選項上）指定。但是，除非是作為測試目的或是在一個安全的系統上，否則不應在命令行或腳本中指定口令。
如果沒有在命令行上指定所要求的口令選項，您將會得到要求輸入口令的提示。當在口令提示符下鍵入口令時，口令將被即時地顯示出來（鍵入什么就顯示什么），因此，要小心，不要當著任何人的面鍵口令。
命令
另請參閱命令和選項注釋。
向密鑰倉庫添加數據
-genkey {-alias alias} {-keyalg keyalg} {-keysize keysize} {-sigalg sigalg} [-dname dname] [-keypass keypass] {-validity valDays} {-storetype storetype} {-keystore keystore} [-storepass storepass] {-v} {-Jjavaoption}
產生密鑰對（公鑰和與之關聯的私鑰）。將公鑰打包進 X.509 v1 的自簽名證書中，該證書以單元素證書鏈的形式儲存。該證書鏈和私鑰將儲存于 alias 所標識的新密鑰倉庫項中。
keyalg 指定了用于生成密鑰對的算法，而 keysize 指定要生成的每個密鑰的大小。sigalg 指定簽名自簽名證書所用的算法；這一算法必須與 keyalg 兼容。參見支持的算法和密鑰大小。
dname 指定與 alias 關聯的 X.500 特征名，并用作自簽名證書中的 issuer 和 subject 域。如果在命令行中沒有提供特征名，用戶將得到要求輸入該信息的提示。
keypass 是口令，用來保護所生成密鑰對中的私鑰。如果沒有提供口令，用戶將得到要求輸入口令的提示。如果在提示符下按 RETURN 鍵，則密鑰口令將被設置為與密鑰倉庫所用的口令相同。keypass 的長度必須至少為 6 個字符。使用口令時必須小心 - 參見 與口令有關的警告。
valDays 指定證書的有效期。
-import {-alias alias} {-file cert_file} [-keypass keypass] {-noprompt} {-trustcacerts} {-storetype storetype} {-keystore keystore} [-storepass storepass] {-v} {-Jjavaoption}
從文件 cert_file 中讀取證書或證書鏈（后者在 PKCS#7 格式的答復所給出）并將其儲存在 alias 所標識的密鑰倉庫項中。如果沒有給出文件，則從標準輸入設備中讀取證書或 PKCS#7 答復。keytool 可導入 X.509 v1、v2 和 v3 的證書以及由該類證書所組成的 PKCS#7 格式的證書鏈。要導入的數據必須是二進制編碼格式或 Internet RFC 1421 標準所定義的可打印的編碼格式（也稱 Base64 編碼）。在后一種情況下，編碼必須用以“-----BEGIN”開頭的字符串開始，用以“-----END”結尾的字符串來結束。