Keystore vs. Truststore¶
Keystore obsahuje vas privatni klic a certifikat. Truststore obsahuje certifikaty CA, kterym doverujete. Nikdy nemodifikujte vychozi cacerts — vytvorte kopii.
Keytool¶
Import certifikatu, generovani self-signed certifikatu, export, vypis obsahu. Pro mutual TLS (enterprise integrace): obe strany potrebuji keystore i truststore.
Debug a casste chyby¶
-Djavax.net.debug=ssl,handshake pro detailni logovani. PKIX path failed = chybI CA v truststoru. Certificate expired = obnovte. Hostname mismatch = spatny CN/SAN.
Automatizace¶
Perl skript + Nagios monitoring expiraci. 60 dni = WARNING, 30 dni = CRITICAL. S desitkami serveru je rucni sprava neudrzitelna.
Pravidla¶
- Nikdy nevypiniejte SSL validaci. 2. Vlastni truststore. 3. Monitorujte expirace. 4. Dokumentujte certifikatovy inventar.
ssltlssecurityjava