RHEL 9 中 OpenJDK 11 FIPS 模式下 PBES2 密码问题解决方案

java

2024-03-16 23:39:26

在 RHEL 9、OpenJDK 11 和 FIPS 中解决 PBES2 密码问题

前言

当你在 RHEL 9 系统上同时使用 OpenJDK 11 和联邦信息处理标准（FIPS）模式时，可能会遇到使用密码基于加密标准 2（PBES2）密码的问题。本文将深入探讨此问题，并提供一步步的解决方案，帮助你轻松解决此问题。

问题概述

在 FIPS 模式下，OpenSSL 使用 FIPS 兼容的 PBES2 密码。当 Java 尝试读取 PKCS12 文件或将 PKCS12 文件转换为 JKS 文件时，就会出现问题，因为 keytool 无法处理 PBES2 密码。

根本原因

即使 java.security 文件表明 PBES2 密码可用，OpenJDK 11.0.22 仍然可能无法支持它们。这是因为 FIPS 模式阻止了对传统提供程序的使用，而传统提供程序对于 PBES2 支持至关重要。

解决方案

要解决此问题，我们需要采取以下步骤：

修改 java.security 文件

使用文本编辑器打开位于 /usr/lib/jvm/java-11-openjdk-11.0.22 的 java.security 文件。

将以下行添加到文件的末尾：
```
security.provider.11=sun.security.provider.SunJCE
```
重新生成 PKCS12 文件

使用以下命令重新生成 PKCS12 文件，并确保使用传统选项 -provider legacy：
```
openssl pkcs12 -export -in cert.pem -inkey key.pem -out keystore.p12 -provider legacy
```

将 PKCS12 文件转换为 JKS 文件

使用 keytool 命令将 PKCS12 文件转换为 JKS 文件：

keytool -importkeystore -srckeystore keystore.p12 -srcstoretype PKCS12 -destkeystore keystore.jks -deststoretype JKS

验证

重新启动 Java 应用程序，并检查是否可以成功访问密钥库。

示例代码

以下示例代码演示了如何使用 Java 读取 JKS 密钥库：

import java.io.FileInputStream;
import java.security.KeyStore;

public class ReadKeystore {

    public static void main(String[] args) throws Exception {
        // 路径到 JKS 密钥库
        String keystorePath = "keystore.jks";

        // 创建 KeyStore 对象
        KeyStore keystore = KeyStore.getInstance("JKS");

        // 从文件加载密钥库
        try (FileInputStream in = new FileInputStream(keystorePath)) {
            keystore.load(in, "password".toCharArray());
        }

        // 获取密钥库中的密钥条目
        KeyStore.Entry entry = keystore.getEntry("alias", new KeyStore.PasswordProtection("password".toCharArray()));
    }
}