如何使用 .pfx 文件签署 Java 小程序？

Question

我试图使用本指南使用我们公司的 .pfx 证书签署 jar 小程序存档
（以及来自互联网的其他一些）：
http://www.globalsign.com/support/ordering-guides/SignJavaCodeAppletsPFX.pdf一切

似乎都很好，但是当我尝试通过浏览器运行苹果时，我看到
“发布者”未知（不受信任）。当我查看详细信息时，我能够看到合适的公司
名称和证书供应商 (GlobalSign)。为什么它没有正确显示为已知/可信？

我觉得可疑的一件事是命令的输出
jarsigner -verify -verbose -certs Applet.jar：

  (...)
  sm      1936 Wed Apr 13 03:00:50 CEST 2011 org/my/Applet.class

  X.509, CN=CompanyName, O=CompanyName, L=Tilst, ST=ProperState, C=DK
  [certificate is valid from 18.02.10 14:58 to 18.02.13 14:58]

  s = signature was verified 
  m = entry is listed in manifest
  k = at least one certificate was found in keystore
  i = at least one certificate was found in identity scope

所以看起来缺少“k = 在密钥库中找到至少一个证书”
（应该是smk，它是sm）。是只签署了部分吗？或者什么？

GlobalSign 给我的 .pfx 文件是否有可能是错误的
不足以签署小程序？对于普通的可执行文件，它工作得很好......

有什么想法吗？ ;）

编辑

@Jcs

看起来你是完全正确的。我用 keytool 检查了我的 PFX 文件，得到：

Your keystore contains 1 entry

Alias name: company_alias
Creation date: Apr 13, 2011
Entry type: PrivateKeyEntry
Certificate chain length: 1
Certificate[1]:

所以看起来链不完整。
我不确定这是否重要，但也有一些扩展，例如：

#1: ObjectId: (some_numbers_here) Criticality=true
KeyUsage [
  DigitalSignature
]

#2: ObjectId: (some_numbers_here) Criticality=false
AuthorityInfoAccess [
  [
   accessMethod: (some_numbers_here)
   accessLocation: URIName: http://secure.globalsign.net/cacert/ObjectSign.crt]
]
(...)

问题是：我的 PFX 文件是否完全错误，或者以某种方式我需要向其中添加 globalsign root？

Answer 1

根据您的帖子，签名证书链中似乎只有一个证书。我验证了我签名的小程序（该小程序在浏览器中正常工作）

(...)
sm      2419 Thu Mar 31 15:49:14 CEST 2011 org/xml/sax/helpers/XMLReaderFactory.class

      X.509, CN=Company Name, O=Company Name, L=Paris, ST=Ile de France, C=FR
      [certificate is valid from 8/4/10 2:00 AM to 8/4/12 1:59 AM]
      X.509, CN=Thawte Code Signing CA - G2, O="Thawte, Inc.", C=US
      [certificate is valid from 2/8/10 1:00 AM to 2/8/20 12:59 AM]
      [KeyUsage extension does not support code signing]

(...)

我们可以看到链中有 2 个证书，因为我的签名证书是由 Thawte 代码签名 CA 颁发的。

在您的情况下，如果 jarsigner 输出中只有一个证书，则可能表明中间 CA 丢失，我几乎不怀疑 GlobalSign 直接从根 CA 颁发证书（位于 java trust 中）店铺）。因此，当加载小程序并验证签名时，JVM 无法重建签名证书和 GlobalSign 根 CA 之间的证书链，这解释了当前的行为。

也许 PKF 文件不包含该中间 CA。使用OpenSSL，您可以检查有多少证书：

[jcs@home:~/]$ openssl pkcs12 -in myfile.pfx

或使用keytool

[jcs@home:~/]$ keytool -list -v -storetype pkcs12 -keystore myfile.pfx
Enter keystore password:  
Keystore type: PKCS12
Keystore provider: SunJSSE

Your keystore contains 1 entry

Alias name: 2
Creation date: Aug 4, 2010
Entry type: PrivateKeyEntry
Certificate chain length: 2     <--  the chain length is here.
Certificate[1]:
(...)

Answer 2

非常感谢大家，特别是 Jcs :)
我终于发现 .pfx 文件只是导入不正确。
我要求我的老板从头开始为我导入它，其中包含所有可能的路径/链/证书，现在它可以工作了:)
因此，如果有人遇到类似的问题，我的建议是尝试再次获取/导入证书
- 这是证书本身的问题而不是签名方法的问题。