KeyTool Explorer: GUI til Java KeyStore og PFX

Hvad er KeyTool Explorer?

KeyTool Explorer (KeyStore Explorer) er et gratis, open source GUI-værktøj der erstatter Javas indbyggede keytool kommandolinje. I stedet for at huske lange keytool-kommandoer kan du åbne, redigere og konvertere keystores visuelt.

Programmet understøtter alle gængse keystore-formater: JKS, JCEKS, PKCS#12 (PFX/P12), BKS og UBER. Du kan importere certifikater, eksportere nøgler, generere CSR'er og inspicere certifikatkæder — alt sammen via en overskuelig brugerflade.

Installation

Download KeyStore Explorer fra keystore-explorer.org/downloads.html. Der er to muligheder til Windows:

• Windows installer (.exe) — standard installation med Start-menu genvej
• Portable ZIP — udpak og kør direkte, ingen installation nødvendig

KeyStore Explorer kræver Java 8 eller nyere. Hvis du ikke har Java installeret, kan du downloade versionen med bundled Java runtime — så behøver du ikke installere Java separat.

Der findes også versioner til macOS og Linux.

Åbn en PFX-fil

En PFX-fil (PKCS#12) indeholder certifikatet og den private nøgle i en enkelt krypteret fil. Sådan åbner du den i KeyStore Explorer:

1. Start KeyStore Explorer.
2. Vælg File → Open Keystore (eller tryk Ctrl+O).
3. Vælg din .pfx eller .p12 fil.
4. Indtast PFX-filens password og klik OK.

KeyStore Explorer viser nu indholdet: certifikatet, den private nøgle og eventuelle intermediate-certifikater. Du kan dobbeltklikke på en post for at se certifikatdetaljer (udsteder, udløbsdato, nøglestørrelse m.m.).

Konverter PFX til Java KeyStore (JKS)

Java-applikationer som Tomcat, WildFly og Spring Boot bruger typisk JKS-formatet. Sådan konverterer du:

1. Åbn PFX-filen som beskrevet ovenfor.
2. Vælg File → Save As (eller tryk Ctrl+Shift+S).
3. Vælg JKS som format i filtype-dropdown.
4. Angiv et password til den nye JKS-fil (keystore password).
5. Du bliver derefter bedt om et password til den private nøgle (key password) — se afsnittet nedenfor.
6. Gem filen med en .jks extension.

JKS har TO passwords

Dette er den vigtigste forskel mellem PFX og JKS, og en hyppig kilde til fejl:

• Keystore password — beskytter selve JKS-filen. Kræves for at åbne filen.
• Key password — beskytter den private nøgle inde i keystoren. Kræves for at bruge certifikatet.

En PFX-fil har kun ét password der dækker begge dele. Når du konverterer til JKS, beder KeyStore Explorer dig om at sætte begge passwords separat.

Tomcat og andre Java-servere

De fleste Java-applikationer — herunder Apache Tomcat — kræver at keystore password og key password er identiske. Hvis de er forskellige, får du typisk denne fejl:

java.security.UnrecoverableKeyException: Cannot recover key

Sæt derfor begge passwords til den samme værdi under konverteringen. I Tomcats server.xml angiver du passwordet sådan:

<Connector port="443" protocol="org.apache.coyote.http11.Http11NioProtocol"
           SSLEnabled="true"
           keystoreFile="/path/to/keystore.jks"
           keystorePass="ditPassword"
           keyPass="ditPassword" />

Hvis keyPass udelades, antager Tomcat at det er det samme som keystorePass.

Eksporter certifikat fra JKS

For at eksportere et certifikat (uden den private nøgle) fra en JKS-fil:

1. Åbn JKS-filen i KeyStore Explorer.
2. Højreklik på den ønskede post.
3. Vælg Export → Export Certificate Chain.
4. Vælg format: X.509 (PEM) til de fleste formål, eller DER hvis modtageren kræver det.
5. Gem filen.

Du kan også eksportere den private nøgle separat via Export → Export Private Key — men vær opmærksom på at den private nøgle aldrig bør deles unødvendigt.

Andre nyttige funktioner

• Generer CSR — højreklik på en keypair → Generate CSR. Nyttigt hvis du skal bestille et nyt certifikat til en eksisterende nøgle.
• Importer CA-svar — højreklik på en keypair → Import CA Reply. Brug dette til at importere det udstedte certifikat efter en CSR.
• Importer trusted certificate — højreklik i keystoren → Import Trusted Certificate. Tilføj root- eller intermediate-certifikater til din truststore.
• Inspicér certifikatdetaljer — dobbeltklik for at se Subject, Issuer, Serial Number, SAN-felter, nøglestørrelse og udløbsdato.