Failed to establish chain from reply ошибка

Некоторые любят погорячее, а некоторые — понадежнее, поэтому те вторые некоторые не верят всяческим self-signed сертификатам.

Задача: заставить websphere принять и простить такой self-signed сертификат.

1. Для этого сначала делается простая пара ключей:
>keytool -genkey -keyalg RSA -keystore server.keystore -dname «CN=cn, OU=ou, O=o, L=l, ST=st, C=LV» -storepass server -keypass server -alias alias

2. Сделать запрос:
>keytool -certreq -alias alias -keystore server.keystore -storepass server -file request.csr

3. request.csr надо недоверчивой компании, чтобы те подписали ваш сертификат, и прислали его подписанным обратно.

4. При замене начального сертификата на подписанный вывалится ошибка:
>keytool -import -keystore server.keystore -alias alias -storepass server -file signed.cer
keytool error: java.lang.Exception: Failed to establish chain from reply

Чтобы решить ошибку, вам необходима цепь сертификатов — chain of trust — обычно это файл с расширением .pem.
keytool толком не умеет добавлять цепь, поэтому:
А) открываем chainoftrust.pem любым редактором и видим следующее:

——BEGIN CERTIFICATE——
Blablabla на кучу строк
——END CERTIFICATE——
——BEGIN CERTIFICATE——
Blablabla на кучу строк
——END CERTIFICATE——
.
——BEGIN CERTIFICATE——
Blablabla на кучу строк
——END CERTIFICATE——

Б) Каждый блок сохраняете в отдельный файлик: 1.cer, 2.cer и так далее.

Источник

We stand with our friends and colleagues in Ukraine. To support Ukraine in their time of need visit this page.

Tomcat installation error: keytool error: java.langException: Failed to establish chain from reply

During the import, this error might occur: keytool error: java.langException: Failed to establish chain from reply

This error explicitly refers to the fact that the certificate to be imported does not match either:
— The common name of the created key entry of imported certificates, or
— The alias of the key entry.
In order to avoid this error, the following points should be double-checked:

• Alias of the imported certificate: If you are importing the chain files in PEM format, each of them should have different aliases( e.g.: root for root certificates, intermediate1 or intermediate2 for intermediate certificates). The alias of private key entry (keystore alias) should match with end-entity certificate.
• The end-entity certificate imported to the keystore does not match the private key in that keystore. This means that the imported certificate differs from the key entry in the keystore either in common name or alias. To avoid this, the keystore verbose output can be checked and the correct domain name and the alias can be found:
  Command is the following: keytool -list -keystore ‘keystore name’ -v

Once this is checked, rerun the import command to the correct keystore.

Once the entries are deleted, import the certificate in the correct order.

Источник

Создать хранилище ключей:

Сгенерировать запрос подписи сертификата (CSR):

Затем я отправляюсь на хостинг-провайдера и получаю несколько сертификатов. Они установлены следующим образом:

Когда я установил окончательный сертификат (my.crt), я получил следующую ошибку:

Я считаю, что я импортировал цепочку и в правильном порядке, поэтому я очень смущен этим сообщением. Может ли кто-нибудь увидеть, что я делаю неправильно?

ОТВЕТЫ

Ответ 1

Я только что обнаружил, что файлы godaddy, поставляемые вместе с моим сертификатом, являются промежуточными сертификатами (на самом деле они кажутся одним и тем же промежуточным сертификатом).

Я получил правильные корневые и промежуточные сертификаты, дважды щелкнув по моему сертификату и посмотрев путь к сертификату. отсюда я также мог загрузить каждый из этих сертификатов и использовать шаги, используемые в вопросе для их импорта

Ответ 2

Я боролся с той же проблемой около двух недель, пока не нашел способ обойти это. Проблемы заключались в том, что корневые и промежуточные сертификаты, которые поставлялись с моим сертификатом от Godaddy, были не теми, которые мне нужны. Я много раз искал в репозитории Godaddy, не в состоянии найти подходящие сертификаты.

Я просмотрел свой сертификат на своем ноутбуке (используя Windows 8.1). Там я увидел цепочку сертификатов, и я смог экспортировать корневые и промежуточные сертификаты. Затем я импортировал их в хранилище ключей и работал так, как должен.

Для этого выполните следующие действия:

Просмотр сертификата на компьютере под управлением Windows. Вы увидите цепочку сертификатов на третьей вкладке, которая выглядит следующим образом.

Выберите корневой сертификат из цепочки и нажмите кнопку «Просмотреть сертификат».

Примечание: Прежде чем я импортировал эти сертификаты, мне пришлось удалить те, которые были в моем хранилище ключей, и не работали. Для этого я использовал следующие инструкции:

Если вы не знаете, что находится внутри вашего keytool, вы можете просмотреть, используя:

Ответ 3

У меня такая же ошибка при попытке импортировать сертификаты, сертифицированные CA, в хранилище ключей в среде Linux.

Я выполнил множество шагов и успешно импортировал их.

После получения сертификатов, сертифицированных CA, выполните следующие шаги для импорта сертификатов в хранилище ключей.

шаг 1:

Импортировать корневой сертификат в cacerts, который будет доступен в папке JAVA_HOME/jre/lib/security, используя следующую команду:

Как только вы введете команду выше, она предложит ввести пароль, ввести пароль и нажать «Да».

шаг 2:

Импортировать корневой сертификат, используя следующую команду:

Как только вы введете команду выше, она предложит ввести пароль, ввести пароль и нажать «Да».

шаг 3:

Импортировать промежуточный сертификат, используя следующую команду:

после того, как вы введете команду выше, она предложит заменить уже имеющийся сертификат, введите yes.

Примечание: промежуточный сертификат является необязательным, его можно игнорировать, он поставляется с корневым сертификатом.

шаг 4:

Импортировать сертификат сайта, используя следующую команду:

Среда, выполняемая этими командами, представляет собой сертификат Java версии 7. GODADDY.

Ответ 4

Чтобы устранить эту проблему, используйте дополнительные ключи (-trustcacerts) в командах keytool.

Команда для импорта промежуточных сертификатов из файла intermediate.cer в файл certsks keystore должна выглядеть следующим образом:

keytool -storetype JCEKS -storepass passwd -keystore certificates.ks -import -alias промежуточное -trustcacerts файл intermediate.cer

Команда для импорта сертификата из файла http.cer в файл сертификатов cert.ks должна выглядеть так:

keytool -storetype JCEKS -storepass passwd -keystore certificates.ks -import -alias http -trustcacerts файл http.cer

Повторите попытку завершения процесса создания и импорта подписанного SSL-сертификата.

Ответ 5

Загрузите цепочку сертификатов, откройте ее в Windows — она ​​хранит сертификат CA и ваш сертификат от CA.

Сначала импортируйте CA cert в хранилище ключей, а затем импортируйте ответ из CA.

Ответ 6

Следующий шаг очень важен, прежде чем импортировать сертификаты в локальный магазин ключей. После получения подписанных сертификатов от CA).

импортировать корневой сертификат в cacerts, который будет доступен в папке JAVA_HOME/jre/lib/security, используя следующую команду:

keytool -importcert -alias root -file [корневой сертификат] -keystore cacerts после ввода команды введите пароль, введите пароль и нажмите «Да».

Источник

Adblock
detector

This Article consists of advanced troubleshooting to a very problematic issue that rarely comes up with versions of keytool when installing an SSL certificate in x509 format.

Issue:

By all normal means when following SSL Installation instructions for Tomcat using X509 you should have a smooth installation, but when importing the Intermediate CA Certificate or SSL Certificate received from the Certificate Authority you may get the following error message still.

“Failed to establish chain from reply”

Cause:

Tomcat/keytool is a picky system.

Tomcat wants to see the entire certificate chain before installation of the SSL Certificate. Typically this can be solved by importing the entire chaining path of your SSL Certificate in the following order: Root > Intermediate > SSL Certificate.

All of these Certificate can be gathered from the CA you purchased your SSL Certificate from.

Yet, you may still get the error message “Failed to establish chain from reply” when importing the Root or Intermediate certificates that you received from the CA. The cause for this phenomenon is unknown.

Resolution:

The following resolution requires a Microsoft OS in order to manually pull the certificate chain from the certificate.

Step 1: Retrieving your Root, Intermediate directly from your SSL certificate:
Note: you must perform this retrieval on a windows system.

1. Take your SSL certificate that you picked up following back when following the SSL Installation instructions for Tomcat using X509 it should be in x509 format with a .cer extension. and double click on it.
2. At the certificate popup click on Certification Path.
   
3. Under Certification Path you will see a tier of three certificates.
   • Top certificate = Root
   • Middle certificate = Intermediate
   • Bottom certificate  = SSL certificate for the common name it was issued to.
     
4. Double click on the top certificate Root in order to bring up its information.
   
   
5. Click Details.
6. Click Copy to File…
   
7. The Certificate Export Wizard will popup. Click Next.
   
   
8. Select Base-64 encoded X.509 (.cer).
9. Click Next.
   
10. On the next screen click Browse and specify the filename and path you want to save your Root certificate. Name it whatever you desire. Example: Root.cer
11. Click Save.
12. You will be taken back to the previous screen with the location and path of this file specified next to browse. Click Next.
    
13. Complete the export wizard by clicking Finish.

Step 2: Retrieving your Intermediate CA directly from your SSL certificate (Continued):
You will perform the same steps as above in step 1 but with the Middle certificate Intermediate.

1. Back to your SSL certificate under the Certification Path tab double click on the Middle Certificate Intermediate in the tier.
   
   
2. Click Details.
3. Click Copy to File…
   
   
4. The Certificate Export Wizard will popup. Click Next.
   
5. Select Base-64 encoded X.509 (.cer).
6. Click Next.
   
   
7. On the next screen click Browse and specify the filename and path you want to save your Intermediate certificate. Name it whatever you desire. Example: Intermediate.cer
8. Click Save.
9. You will be taken back to the previous screen with the location and path of this file specified next to browse. Click Next.
   
10. Complete the export wizard by clicking Finish.

You should now have three files.

1. Your Root Certificate.
2. Your Intermediate Certificate.
3. Your SSL certificate where both the Root, and Intermediate are derived from.

Step 3: Installing your Root CA, CA Intermediate, and your SSL certificate:
It is recommended that you have your Keystore, SSL certificate and Keytool.exe in the same folder or you will need to specify the full file path when running the following commands. you may want to make a copy of your Keystore in case their are issues with Installation.
Note: You will import these files into the same keystore used for CSR creation:

1. Import the Root Certificate first.  You will specify your own alias for this import Example: Root.

   • keytool -import -alias root -trustcacerts -file root_file_name.cer  -keystore your_keystorename.Jks

2. Import the Intermediate CA certificate second. You will specify your own alias for this import. Example: Intermediate.

   • keytool -import -alias intermediate -trustcacerts -file intermediate_file_name.cer  -keystore your_keystorename.Jks

3. Import the SSL certificate (Use the same alias name based on when you created the keystore for CSR creation)

   • keytool -import -alias your_Privatekey_Alias -trustcacerts -file your_SSLCertificate.cer  -keystore your_keystorename.Jks

Step 4: Confirm contents of the keystore:

1. At the command prompt, enter:
   
   keytool -list -v -keystore  your_keystore_filename
   
2. Viewing the contents of the keystore.
   
   
   The end entity SSL certificate is imported into the alias with the “Entry Type” of PrivateKeyEntry or KeyEntry.  If not, import the certificate into the Private Key alias.
   
   NOTE: The Certificate chain length: tells you the keystore was successful in establishing the certificate chain, and your keystore is ready for use.
   

Step 5: Configuring the Tomcat Server:
Tomcat keeps its configuration information in a server.xml file, which ensures Tomcat is reading the correct keystore file and keystore password.This file also allows server administrators to set the port for secure connections.

If the server.xml file is not configured, or if it is pointing to the wrong keystore, then the server may present the incorrect certificate to the client browser.
Note: Tomcat can be a custom environment. The name of your server.xml file could be something different. You should see some sort of connector within a .xml file under tomcat in the example below. This is what needs to be configured. If you are unable to figure or discover this SSL Connecter you may have to contact Tomcat for Support

1. Open the server.xml config file under Tomcat using a text editor (ie. JAKARTA_HOME/conf/server.xml)
2. Search for the secure element in your config file (try searching for SSL Connector). By default it should look something like this:
   
3. Make sure to specify the correct “keystoreFile” directive to the new keystore and the “keystorePass” directive is referencing the correct keystore password.
   
   Note: These directives are case-sensitive! Make sure the letters “F” and “P” in “keystoreFile” and “keystorePass” are in uppercase.
   Note: If your keystore contains more than one private key alias, please add the “keyAlias” directive to reference the correct private key alias name.
   
   For Example:
   keystoreFile=”insert path to the keystore here”
   keystorePass=”insert keystore password here”
   keyAlias=”insert private key alias here”/>
   
   
4. Save the changes.
   
5. Stop and start Tomcat
   
   Your SSL certificate is now installed and configured for its website.
   

These instructions are created out of troubleshooting experience in dealing with the many issues of Tomcat/Keytool. If you are unable to use these instructions for your server, or you are still having issues with Keytool/Tomcat Acmetek recommends that you contact either the vendor of your software or the organization that supports it.

Tomcat Support:
For more information, please refer to Tomcat Support

[{«Product»:{«code»:»SSFUEU»,»label»:»IBM OpenPages with Watson»},»Business Unit»:{«code»:»BU059″,»label»:»IBM Software w/o TPS»},»Component»:»Not Applicable»,»Platform»:[{«code»:»PF025″,»label»:»Platform Independent»}],»Version»:»Version Independent»,»Edition»:»»,»Line of Business»:{«code»:»LOB10″,»label»:»Data and AI»}}]