Создайте сертификат x.509 с помощью bouncycastle с сертификатом (цепочка сертификатов)

Гиды! Я пытаюсь создать сертификат x.509 с помощью bouncycastle, который должен быть подписан другим сертификатом и хранить его в формате PEM base 64.

У меня уже есть самозаверяющий сертификат (открытый и закрытый ключ). Теперь я хочу создать новый и подписать его с существующим самозаверяющим сертификатом.

KeyPairGenerator keyPairGenerator = KeyPairGenerator.getInstance("RSA", "BC");
keyPairGenerator.initialize(1024, new SecureRandom());
KeyPair keyPair = keyPairGenerator.generateKeyPair();

X509V3CertificateGenerator certGen = new X509V3CertificateGenerator();
X500Principal dnName = new X500Principal("CN=Sergey");
certGen.setSerialNumber(BigInteger.valueOf(System.currentTimeMillis()));
certGen.setSubjectDN(dnName);
certGen.setIssuerDN(caCert.getSubjectX500Principal());
certGen.setNotBefore(validityBeginDate);
certGen.setNotAfter(validityEndDate);
certGen.setPublicKey(keyPair.getPublic());
certGen.setSignatureAlgorithm("SHA256WithRSAEncryption");

certGen.addExtension(X509Extensions.AuthorityKeyIdentifier, false, new AuthorityKeyIdentifierStructure(caCert));
certGen.addExtension(X509Extensions.SubjectKeyIdentifier, false, new SubjectKeyIdentifierStructure(keyPair.getPublic()));

X509Certificate cert = certGen.generate(caCertPrivateKey, "BC");

Проверка прошла без исключений, что означает, с моей точки зрения, что она была успешно подписана caCert:

cert.verify(caCert.getPublicKey());

Затем я декодирую его на базу PEM 64:

PEMWriter pemWriter = new PEMWriter(new PrintWriter(System.out));
pemWriter.writeObject(cert);
pemWriter.flush();

Я получаю что-то вроде этого на выходе:

----- НАЧАТЬ СЕРТИФИКАТ -----

MIIDDjCCAnegAwIBAgIBFDAN........

----- СЕРТИФИКАТ КОНЕЦ -----

Когда я его открываю, я вижу следующее:

enter image description here

Почему нет цепочки сертификации, если она была успешно подписана caCert?

Что нужно изменить в моем коде, чтобы увидеть цепочку сертификации, как я ожидал?

Ответы

Ответ 1

Я смог найти решение. На самом деле код работает так, как ожидалось. Я не видел цепочку сертификатов, потому что мой сертификат caRoot не был добавлен в доверенный магазин. После того, как я добавлю сертификат sel-signed в доверенные корневые центры сертификации, я вижу всю цепочку сертификации, как я ожидал.