Правильный способ импорта корневых и промежуточных сертификатов в Java cacerts

Question

У моей компании есть собственный сертификат ROOT. Используя этот сертификат, они подписали сертификат intermediate.

Затем мы выпустили CSR для сертификата server и подписали его с сертификатом intermediate.

Что такое правильный способ импортировать ROOT сертификат и intermediate в Java cacerts файл, для того, чтобы иметь возможность установить SSL соединение с сервером, который имеет server сертификат, подписанный intermediate?

Я использовал OpenSSL для проверки цепочки сертификатов на сервере:

openssl s_client -showcerts -connect host:443 

CONNECTED(00000003) 
depth=0 C = COUNTRYCODE, ST = myCountry, O = myOrganization, CN = myServer, emailAddress = myMail 
verify error:num=20:unable to get local issuer certificate 
verify return:1 
depth=0 C = COUNTRYCODE, ST = myCountry, O = myOrganization, CN = myServer, emailAddress = myMail 
verify error:num=27:certificate not trusted 
verify return:1 
depth=0 C = COUNTRYCODE, ST = myCountry, O = myOrganization, CN = myServer, emailAddress = myMail 
verify error:num=21:unable to verify the first certificate 
verify return:1 
--- 
Certificate chain 
0 s:/C=COUNTRYCODE/ST=myCountry/O=myOrganization/CN=myServer/emailAddress=myMail 
    i:/CN=INTERMEDIATECERT 
-----BEGIN CERTIFICATE----- 
MIIFr... 
-----END CERTIFICATE----- 
--- 
Server certificate 
subject=/C=COUNTRYCODE/ST=myCountry/O=myOrganization/CN=myServer/emailAddress=myMail 
issuer=/CN=INTERMEDIATECERT 
--- 
No client certificate CA names sent 
--- 
SSL handshake has read 1601 bytes and written 589 bytes 
--- 
New, TLSv1/SSLv3, Cipher is AES256-SHA 

Answer 1

Вам только нужно импортировать корневой сертификат в доверенном хранилище.

keytool -import -trustcacerts -keystore path/to/cacerts -storepass changeit -alias aliasName -file path/to/certificate.cer 

SSL-сервер во время рукопожатия должен предоставить сертификат и промежуточные продукты. TrustManager вашего клиента будет проверять цепочку сертификации до корневого не найден

Примечание: Рекомендуется использовать собственный вместо доверенных сертификатов модифицирующих cacerts