我可以使用keytool创建没有密码的Java信任库吗？

Question

我想连接到带有自签名证书的TLS服务器，因此我需要一个自定义信任存储。 keytool似乎绝对需要密码才能导入证书，但我真的不需要密码保护信任存储。 使用标准密码“changeit”将起作用，但我宁愿根本没有密码。

请注意，这是一个“信任存储”而不是“密钥存储”，因此信任存储中根本没有秘密材料：只是服务器的证书，因此客户端可以验证服务器是否可信。

这有可能与keytool ？ 是否有其他工具可以从信任存储中删除密码？ 了解该认证的信任存储实际上可能有用武之地，在那里我为什么不应该使用信任存储没有密码任何特殊的理由？

Answer 1

我很确定如果你创建一个新的信任存储，keytool会让你输入一个空密码，但是没有密码的问题是攻击者可以插入他们想要的任何证书并使其受信任。 这会产生恶意机会，例如中间人攻击 。 您的应用程序假定它可以信任攻击者已设置的URL，因此没有什么可以阻止他们重新路由您的Web服务调用。

从默认设置更改生产环境中的密钥库和信任库密码绝对是最佳做法。