关于证书签名过程的java问题

Question

我对用 java 创建由 CA 签名的有效证书的过程感到困惑。
我知道java有工具keytool来创建公钥-私钥和证书。
它还支持 JKS 和 PKCS#12。
因此，我们可以创建一个带有公钥-私钥对和证书的密钥库，例如
keytool -genkey -keyalg RSA -alias aCert -keystore someKeystore.keystore 这将创建一个带有证书（自签名）的密钥库。
到目前为止我明白了。
我可以导出 csr 请求的证书发送给 CA（例如 Verisign），当然不需要私钥。
在这部分之后我迷失了。
CA 将对其进行签名，我必须将其重新导入到我的密钥库中？这将替换密钥库中已有的原始证书？
但它仍然是自签名的。
颁发者不应该是 CA 本身吗？但这怎么可能？我只发送公钥而不发送证书？
请帮忙清理流程吗？
更新：
签署证书的 CA（例如 Verisign）也是颁发者吗？或者它可以签署颁发者==主题的证书？
谢谢

Answer 1

在创建 CSR 方面，您是正确的。您将使用类似以下内容：

$ keytool -certreq -alias myalias -file myalias.csr -keystore keystore

生成 CSR，其中包含：

• 您的公钥（从自签名证书中提取）
• 专有名称（即请求证书的实体的名称）

，并由您的签名者签名私钥。然后，CA 生成一个新证书，其中包含：

• 主题 = 您的 DN（来自 CSR 或使用您在申请过程中提供的详细信息自动生成）
• 颁发者 = CA 的 DN
• 公钥 = 来自 CSR

，您需要将其导入回您的证书密钥库，替换原始自签名证书：

$ keytool -import -alias myalias -keystore keystore -file myalias.crt

CA 通常会使用中间证书签署您的新证书，而该中间证书又由可信根签名；在这种情况下，您应该在自己的证书之前导入中间证书：

$ keytool -import -trustcacerts -alias intermediate -file intermediate.crt -keystore keystore

编辑： keytool 文档中的这个模糊部分非常清晰（其中谈到证书“链”，这仅指中间证书将您的链接链接到根）：

keytool 可以创建和管理密钥库“密钥”条目，每个条目都包含私钥和关联的证书“链”。链中的第一个证书包含与私钥对应的公钥。

首次生成密钥时（请参阅 -genkey 子命令），链开始时包含一个元素，即自签名证书。自签名证书是颁发者（签名者）与主体（其公钥由证书验证的实体）相同的证书。每当调用 -genkey 子命令生成新的公钥/私钥对时，它还会将公钥包装到自签名证书中。

稍后，在生成证书签名请求 (CSR)（请参阅 -certreq 子命令）并将其发送到证书颁发机构 (CA) 后，将导入来自 CA 的响应（请参阅 -import），并且自签名证书被证书链取代。链的底部是由 CA 颁发的证书（回复），用于验证主体的公钥。链中的下一个证书是验证 CA 公钥的证书。

Answer 2

CA 签署证书后，它就不再是自签名的。自签名证书的颁发者==主题。当 CA 对其进行签名时，颁发者就成为 CA，它对应于 CA 自己的证书中的主题，而该证书又由另一个颁发者签名，...因此您拥有一个证书链，该证书链终止于已受信任的根中在您的信任库中。