KeyStore Explorer: GUI för Java KeyStore och PFX

Vad är KeyStore Explorer?

KeyStore Explorer är ett kostnadsfritt verktyg med öppen källkod och grafiskt gränssnitt som ersätter Javas inbyggda kommandoradsverktyg keytool. I stället för att memorera långa keytool-kommandon kan du öppna, hantera och konvertera keystores visuellt.

Programmet har stöd för alla vanliga keystore-format: JKS, JCEKS, PKCS#12 (PFX/P12), BKS och UBER. Du kan importera certifikat, exportera nycklar, generera CSR-filer och granska certifikatkedjor i ett överskådligt gränssnitt.

Installation

Ladda ner KeyStore Explorer från keystore-explorer.org/downloads.html. Det finns två alternativ för Windows:

• Windows installer (.exe): standardinstallation med genväg i Start-menyn
• Portable ZIP: packa upp och kör direkt, ingen installation krävs

KeyStore Explorer kräver Java 8 eller senare. Om du inte har Java installerat kan du ladda ner versionen som levereras med Java-runtime. Då behöver du inte installera Java separat.

Det finns även versioner för macOS och Linux.

Öppna en PFX-fil

En PFX-fil (PKCS#12) innehåller certifikatet och den privata nyckeln i en enda krypterad fil. Så här öppnar du den i KeyStore Explorer:

1. Starta KeyStore Explorer.
2. Välj File → Open Keystore (eller tryck Ctrl+O).
3. Välj din .pfx- eller .p12-fil.
4. Ange lösenordet för PFX-filen och klicka på OK.

KeyStore Explorer visar nu innehållet: certifikatet, den privata nyckeln och eventuella mellanliggande certifikat. Du kan dubbelklicka på en post för att se certifikatdetaljer (utfärdare, utgångsdatum, nyckelstorlek m.m.).

Konvertera PFX till Java KeyStore (JKS)

Java-applikationer som Tomcat, WildFly och Spring Boot använder vanligtvis JKS-formatet. Så här konverterar du:

1. Öppna PFX-filen enligt beskrivningen ovan.
2. Välj File → Save As (eller tryck Ctrl+Shift+S).
3. Välj JKS som format i rullistan för filtyp.
4. Ange ett lösenord för den nya JKS-filen (keystore password).
5. Du blir därefter ombedd att ange ett lösenord för den privata nyckeln (key password), se avsnittet nedan.
6. Spara filen med filändelsen .jks.

JKS har två lösenord

Detta är den viktigaste skillnaden mellan PFX och JKS, och en vanlig orsak till konfigurationsfel:

• Keystore password: skyddar själva JKS-filen. Krävs för att kunna öppna filen.
• Key password: skyddar den privata nyckeln inuti keystore-filen. Krävs för att kunna använda certifikatet.

En PFX-fil har bara ett lösenord som täcker båda delarna. När du konverterar till JKS ber KeyStore Explorer dig att ställa in båda lösenorden separat.

Tomcat och andra Java-servrar

De flesta Java-applikationer, även Apache Tomcat, kräver att keystore password och key password är identiska. Om de skiljer sig åt får du vanligtvis följande felmeddelande:

java.security.UnrecoverableKeyException: Cannot recover key

Ange därför samma värde för båda lösenorden under konverteringen. I Tomcats server.xml anger du lösenordet så här:

<Connector port="443" protocol="org.apache.coyote.http11.Http11NioProtocol"
           SSLEnabled="true"
           keystoreFile="/path/to/keystore.jks"
           keystorePass="dittLösenord"
           keyPass="dittLösenord" />

Om keyPass utelämnas antar Tomcat att det är samma som keystorePass.

Exportera certifikat från JKS

För att exportera ett certifikat (utan den privata nyckeln) från en JKS-fil:

1. Öppna JKS-filen i KeyStore Explorer.
2. Högerklicka på önskad post.
3. Välj Export → Export Certificate Chain.
4. Välj format: X.509 (PEM) för de flesta ändamål, eller DER om mottagaren kräver det.
5. Spara filen.

Du kan även exportera den privata nyckeln separat via Export → Export Private Key. Dela aldrig den privata nyckeln i onödan.

Andra användbara funktioner

• Generera CSR: högerklicka på ett nyckelpar → Generate CSR. Användbart om du ska beställa ett nytt certifikat till en befintlig nyckel.
• Importera CA-svar: högerklicka på ett nyckelpar → Import CA Reply. Så importerar du det utfärdade certifikatet efter en CSR.
• Importera betrott certifikat: högerklicka i din keystore → Import Trusted Certificate. Lägg till rotcertifikat eller mellanliggande certifikat i ditt certifikatlager (truststore).
• Granska certifikatdetaljer: dubbelklicka för att se Subject, Issuer, Serial Number, SAN-fält, nyckelstorlek och utgångsdatum.