SSL/TLS certifikáty v Java aplikacích

Keystore vs. Truststore¶

Keystore obsahuje vas privátní klíč a certifikát. Truststore obsahuje certifikaty CA, kterým doverujete. Nikdy nemodifikujte výchozí cacerts — vytvořte kopii.

Keytool¶

Import certifikatu, generovani self-signed certifikatu, export, vypis obsahu. Pro mutual TLS (enterprise integrace): obě strany potrebuji keystore i truststore.

Debug a casste chyby¶

-Djavax.net.debug=ssl,handshake pro detailní logovani. PKIX path failed = chybÍ CA v truststoru. Certificate expired = obnovte. Hostname mismatch = špatný CN/SAN.

Automatizace¶

Perl skript + Nagios monitoring expiraci. 60 dní = WARNING, 30 dní = CRITICAL. S desítkami serveru je ruční sprava neudržitelná.

Pravidla¶

1. Nikdy nevypiniejte SSL validaci. 2. Vlastní truststore. 3. Monitorujte expirace. 4. Dokumentujte certifikatovy inventář.