Какой используешь сертификат?

Сертификаты в Java разработке

При вопросе о сертификатах в контексте Java разработки может быть имеется в виду несколько видов сертификатов. Рассмотрим основные типы.

Профессиональные сертификаты Java

Oracle Certified Associate (OCA)

OCA Java Programmer — начальный уровень сертификации от Oracle. Подтверждает базовые знания Java синтаксиса и основных концепций.

• Охватывает: переменные, операторы, управление потоком, массивы, строки
• Версии: Java 8 и выше
• Стоимость: примерно 300 USD

Oracle Certified Professional (OCP)

OCP Java Programmer — продвинутый уровень. Подтверждает глубокое знание Java.

• Охватывает: Collections, Streams, многопоточность, NIO, JDBC, функциональное программирование
• Требует: сначала сдать OCA
• Стоимость: примерно 300-400 USD

Oracle Certified Associate Cloud Infrastructure (OCA OCI)

Сертификация для облачных технологий Oracle Cloud Infrastructure.

SSL/TLS Сертификаты в приложениях Java

При работе с HTTPS и криптографией часто используются SSL/TLS сертификаты.

Работа с SSL сертификатами

// Создание SSLContext для HTTPS соединений
import javax.net.ssl.SSLContext;
import javax.net.ssl.HttpsURLConnection;

SSLContext sslContext = SSLContext.getInstance("TLS");
sslContext.init(null, null, null);

HttpsURLConnection conn = (HttpsURLConnection) url.openConnection();
conn.setSSLSocketFactory(sslContext.getSocketFactory());

Импорт сертификата в keystore

# Импорт сертификата в Java keystore
keytool -import -alias myalias -file mycert.pem -keystore cacerts

# Просмотр сертификатов в keystore
keytool -list -v -keystore cacerts

# Удаление сертификата
keytool -delete -alias myalias -keystore cacerts

Работа с keystore в Spring Boot

# application.yml
server:
  ssl:
    key-store: classpath:keystore.p12
    key-store-password: mypassword
    key-store-type: PKCS12
    key-alias: tomcat
    key-password: mypassword

Сертификаты для подписания кода

Code Signing Certificate

Используется для подписания JAR файлов и приложений.

# Подписание JAR файла
jarsigner -keystore keystore.jks -signedjar signed.jar unsigned.jar myalias

Управление сертификатами в Java приложении

@Configuration
public class SecurityConfig {
    
    @Bean
    public RestTemplate restTemplate() throws Exception {
        // Загрузка собственного сертификата
        KeyStore keyStore = KeyStore.getInstance("PKCS12");
        InputStream is = new ClassPathResource("keystore.p12").getInputStream();
        keyStore.load(is, "password".toCharArray());
        
        SSLContext sslContext = SSLContext.getInstance("TLS");
        TrustManagerFactory tmf = TrustManagerFactory.getInstance(
            TrustManagerFactory.getDefaultAlgorithm());
        tmf.init(keyStore);
        sslContext.init(null, tmf.getTrustManagers(), new SecureRandom());
        
        HttpComponentsClientHttpRequestFactory factory = 
            new HttpComponentsClientHttpRequestFactory();
        // Использование sslContext
        
        return new RestTemplate(factory);
    }
}

Типы сертификатов в контексте микросервисов

mTLS (Mutual TLS)

Двусторонняя аутентификация с использованием сертификатов.

# application.yml для Istio/Kubernetes
server:
  ssl:
    key-store: /etc/ssl/private/keystore.p12
    key-store-password: ${KEYSTORE_PASSWORD}
    trust-store: /etc/ssl/private/truststore.p12
    trust-store-password: ${TRUSTSTORE_PASSWORD}

Сертификаты для API взаимодействия

Client Certificate Authentication

Клиент отправляет свой сертификат для аутентификации на сервере.

@Configuration
public class HttpClientConfig {
    
    @Bean
    public RestTemplate restTemplate() throws Exception {
        SSLContext sslContext = createSSLContext();
        
        HttpClient httpClient = HttpClientBuilder.create()
            .setSslcontext(sslContext)
            .build();
        
        HttpComponentsClientHttpRequestFactory factory = 
            new HttpComponentsClientHttpRequestFactory(httpClient);
        
        return new RestTemplate(factory);
    }
    
    private SSLContext createSSLContext() throws Exception {
        KeyStore keyStore = KeyStore.getInstance("PKCS12");
        // Загрузка клиентского сертификата
        keyStore.load(new FileInputStream("client-cert.p12"), 
                     "password".toCharArray());
        
        KeyManagerFactory kmf = KeyManagerFactory.getInstance("SunX509");
        kmf.init(keyStore, "password".toCharArray());
        
        SSLContext sslContext = SSLContext.getInstance("TLSv1.2");
        sslContext.init(kmf.getKeyManagers(), null, new SecureRandom());
        
        return sslContext;
    }
}

Современные альтернативы сертификатам

JWT токены

Вместо сертификатов для API взаимодействия часто используются JWT токены.

String token = Jwts.builder()
    .setSubject("client-app")
    .setIssuedAt(new Date())
    .setExpiration(new Date(System.currentTimeMillis() + 3600000))
    .signWith(SignatureAlgorithm.HS512, secretKey)
    .compact();

PKIX сертификаты

Public Key Infrastructure (PKI) с использованием X.509 сертификатов.

Лучшие практики

1. Используйте HTTPS везде — передавайте все чувствительные данные по защищённому каналу
2. Ротация сертификатов — регулярно обновляйте истекающие сертификаты
3. Защита private keys — храните приватные ключи в защищённом виде
4. Проверка хоста — всегда проверяйте, что сертификат соответствует хосту
5. Self-signed для тестов — используйте self-signed сертификаты только в разработке

Генерация собственного сертификата для разработки

# Генерация приватного ключа и самоподписанного сертификата
keytool -genkey -alias tomcat -keyalg RSA -keystore keystore.p12   -keysize 2048 -validity 365 -storetype PKCS12

Вывод: В Java разработке сертификаты используются для: профессиональной сертификации (OCA, OCP), HTTPS/TLS соединений, подписания кода, и взаимной аутентификации в микросервисной архитектуре. Выбор зависит от контекста задачи.