我可以使用keytool創建沒有密碼的Java信任庫嗎？

Question

我想連接到帶有自簽名證書的TLS服務器，因此我需要一個自定義信任存儲。 keytool似乎絕對需要密碼才能導入證書，但我真的不需要密碼保護信任存儲。 使用標准密碼“changeit”將起作用，但我寧願根本沒有密碼。

請注意，這是一個“信任存儲”而不是“密鑰存儲”，因此信任存儲中根本沒有秘密材料：只是服務器的證書，因此客戶端可以驗證服務器是否可信。

這有可能與keytool ？ 是否有其他工具可以從信任存儲中刪除密碼？ 了解該認證的信任存儲實際上可能有用武之地，在那里我為什么不應該使用信任存儲沒有密碼任何特殊的理由？

Answer 1

我很確定如果你創建一個新的信任存儲，keytool會讓你輸入一個空密碼，但是沒有密碼的問題是攻擊者可以插入他們想要的任何證書並使其受信任。 這會產生惡意機會，例如中間人攻擊 。 您的應用程序假定它可以信任攻擊者已設置的URL，因此沒有什么可以阻止他們重新路由您的Web服務調用。

從默認設置更改生產環境中的密鑰庫和信任庫密碼絕對是最佳做法。