自签名证书：DNSName 组件必须以字母开头

Question

有没有办法让 java 的密钥工具在 SAN（主题备用名称）中生成带有通配符的自签名证书？我正在使用此命令生成密钥库：

keytool -genkey -alias tomcat -storetype JKS -keyalg RSA -keysize 2048 -ext san=dns:*.example.com -keystore "path/to/my/keystore.jks" -validity 3650

但是我得到了IOException: DNSName components must begin with a letter

显然，问题出在 SAN 中的 *.example.com，但我没有看到为 example.com 个子域生成自签名证书的其他方法。

根据this，应该是可以的。是我的语法错误，keytool 中的错误，还是我误解了什么？

顺便说一句，我使用的是 JDK 1.8 update 60

的 keytool

EDIT 我设法通过指定 CN=*.example.com 的密钥工具为所有 example.com 子域生成了自签名证书，并将 SAN 留空。尽管如此，我还是会接受 Omikron 的回答（因为这是一个实际的回答，而不是绕过限制）。

Answer 1

Keytool 内部使用 class sun.security.x509.DNSName 来检查输入。 DNSName 强制执行 RFC 1034 中指定的语法。引自其 Java 文档评论：

The name MUST be in the "preferred name syntax," as specified by RFC 1034.

首选名称语法是：

<domain> ::= <subdomain> | " "
<subdomain> ::= <label> | <subdomain> "." <label>
<label> ::= <letter> [ [ <ldh-str> ] <let-dig> ]
<ldh-str> ::= <let-dig-hyp> | <let-dig-hyp> <ldh-str>
<let-dig-hyp> ::= <let-dig> | "-"
<let-dig> ::= <letter> | <digit>
<letter> ::= any one of the 52 alphabetic characters A through Z in
upper case and a through z in lower case
<digit> ::= any one of the ten digits 0 through 9

因此根据此语法，域名必须以字母 (A-Z, a-z) 开头。

较新的 RFC（例如 RFC 2181, RFC 1123）放宽了这些限制，因此这可以被视为 Java 中的错误。已经有几个相关的错误报告：

https://bugs.openjdk.java.net/browse/JDK-8016345
https://bugs.openjdk.java.net/browse/JDK-8007706

所以，答案是否定的，目前无法使用 keytool 创建通配符 SAN 扩展。

但是您可以使用 KeyStore Explorer 来做到这一点。它基本上是带有 GUI 的 keytool，不强制执行这些限制。

更新：这已在 Java 15 中修复： https://bugs.openjdk.java.net/browse/JDK-8186143

自签名证书：DNSName 组件必须以字母开头

Self-signed certificate: DNSName components must begin with a letter

java

wildcard-subdomain

certificate

self-signed

keytool