使用keytool生成“过期”SSL证书

Question

我正在使用以下命令创建我的密钥库：

keytool -genkey -keystore myStore.keystore -keyalg RSA -keysize 1024 -alias myAlias

我怎样才能生成一个过期的过期日期（使用它？我想用过期的证书测试我的应用程序的行为）。

Answer 1

您可以使用以下参数使用keytool命令生成过期证书。

-startdate

-validity

虽然有效性参数仅需要天数作为输入，但是从有效性开始时可以使用startdate参数。输入到startdate参数的格式[yyyy / mm / dd] [HH：MM：SS]

有关详细信息，请参阅此链接 http://docs.oracle.com/javase/7/docs/technotes/tools/windows/keytool.html

Answer 2

使用java keytool，密钥库证书的最低有效期可以是1天。

编辑：看起来有-startdate的选项，因为@ shyam0191已经回答。

所以，你不能（更正：你实际上可以）生成一个过去日期的证书。我建议使用以下命令，该命令将生成一个有效期为1天的证书，第二天您将能够使用它进行测试：

keytool -selfcert -alias Test -genkey -keystore myStore.keystore -keyalg RSA -validity 1

或使用@ shyam0191的答案，最终会有相同的结果（但更快）。

Answer 3

您可以使用以下openssl命令来生成过期的证书，该证书模仿正式的证书签名过程。

注意：仅在Linux上进行过测试。

假设自己是CA

#Create CA key, which means you are now the CA using root.key and root.cer to sign certificates
openssl genrsa 4096 > root.key
#Create CA certificate expired ten years later
openssl req -new -x509 -key root.key -out root.cer -days 3650

现在，您就是申请CA签名证书的人

#Generates your own private key 
openssl genrsa 4096 > server.key
#Build a Certificate Signing Request
openssl req -new -key server.key -out server.csr

现在您再次成为CA

#sign the certificate and make the certificate expired 1 day ago. Pay attention to the negative -days argument( not working on MacOS )
openssl x509 -req -in server.csr -CA root.cer -CAkey root.key -CAcreateserial -out server.cer -days -1

然后您可以检查日期

openssl x509 -noout -text -in server.cer

Validity Not Before: Mar 7 09:11:13 2019 GMT Not After : Mar 6 09:11:13 2019 GMT