¿Por qué java tiene los archivos cacerts y jssecacerts?

Question

Estoy seriamente confundido sobre las diferencias entre los archivos cacerts y jssecacerts.

Sé que, de forma predeterminada, java busca el archivo jssecacerts y luego el archivo cacerts.

¿Pero cuál es el punto del archivo jssecacerts?

Según tengo entendido, si se necesita utilizar un nuevo almacén de confianza, se debe realizar una copia de cacerts y todas las nuevas CA de confianza deben agregarse a esa copia. La copia de cacerts (con las nuevas CA) debe ser referenciada por la propiedad del sistema -Djavax.net.ssl.trustStore. De esta forma, otras aplicaciones Java que se ejecutan en esa máquina no confiarán accidentalmente en CA no predeterminadas.

Answer 1

Buena pregunta. Creo que surge del hecho histórico de que JSSE alguna vez fue un complemento. JSSE permite múltiples proveedores, por lo que tal vez jssecacerts es solo para el proveedor de JSSE, y otros proveedores pueden usar el suyo propio.

Pero quién usó cacerts antes de JSSE es otra pregunta.

Answer 2

Según tengo entendido, el archivo cacerts es el predeterminado.

Si hay un archivo jssecacerts, se utiliza exclusivamente, no además del archivo cacerts.

Mi recomendación: guarde el archivo cacerts, cópielo en jssecacerts y agregue certificaciones CA/firma privadas necesarias para el archivo jssecacerts.

Answer 3

De Java™ Secure Socket Extension (JSSE) Reference Guide, TrustManagerFactory utiliza los siguientes pasos para tratar de encontrar material de confianza:

1. propiedad del sistema javax.net.ssl.trustStore
2. java-home/lib/security/jssecacerts
3. java-home/lib/security/cacerts (enviado por defecto)

Creo que este se basa en la convención sobre el concepto de configuración. Sin esfuerzo de codificación adicional, se usará cacert. Para certificaciones CA/Firma extra privadas, un desarrollador puede usar la primera o la segunda forma, donde el primero puede contener un certificado en particular pero luego contiene una lista de certs.