SSL/TLS certifikaty v Java aplikacich

Keystore vs. Truststore¶

Keystore obsahuje vas privatni klic a certifikat. Truststore obsahuje certifikaty CA, kterym doverujete. Nikdy nemodifikujte vychozi cacerts — vytvorte kopii.

Keytool¶

Import certifikatu, generovani self-signed certifikatu, export, vypis obsahu. Pro mutual TLS (enterprise integrace): obe strany potrebuji keystore i truststore.

Debug a casste chyby¶

-Djavax.net.debug=ssl,handshake pro detailni logovani. PKIX path failed = chybI CA v truststoru. Certificate expired = obnovte. Hostname mismatch = spatny CN/SAN.

Automatizace¶

Perl skript + Nagios monitoring expiraci. 60 dni = WARNING, 30 dni = CRITICAL. S desitkami serveru je rucni sprava neudrzitelna.

Pravidla¶

1. Nikdy nevypiniejte SSL validaci. 2. Vlastni truststore. 3. Monitorujte expirace. 4. Dokumentujte certifikatovy inventar.