3

Estava gerando uma keystore para minha aplicação pelo Android Studio e recebi o seguinte aviso:

Key was created with errors:

Warning:

O armazenamento de chaves JKS usa um formato proprietário. É recomendada a migração para PKCS12, que é um formato de padrão industrial que usa "keytool -importkeystore -srckeystore C:\test.jks -destkeystore C:\test.jks -deststoretype pkcs12".

Resolvi pesquisar, encontrei uma comparação no SO em inglês. Até onde entendi, JKS é o padrão do Java. Isso me deixou confuso se eu deveria ou não gerar um PKCS12, já que minha aplicação é em Kotlin e na compilação é convertida para Java, conforme documentação oficial.

Qual a diferença em ter um JKS ou um PKCS12 assinando meu aplicativo?

Faz sentido se preocupar com isso no desenvolvimento de um app pequeno?

1 Resposta 1

3

JKS

O JKS é um arquivo de segurança criptografado usado para armazenar um conjunto de chaves ou certificados criptográficos no formato binário e requer uma senha para que o arquivo seja aberto.

Nesse caso específico, O JKS está sendo utilizado para identificar o autor (pessoa/empresa) do aplicativo Android durante o processo de build e posteriormente também na publicação no Google Play ou na instalação do .apk (quando o SO exibe uma mensagem dizendo que o aplicativo é de uma fonte desconhecida, por exemplo).

PKCS#12

Como dito nessa resposta o JKS não é facilmente acessível de fora do Java, mas isso não é um problema para o caso em específico da pergunta (usando Kotlin/Java). Os arquivos PKCS#12, são uma maneira neutra em relação à linguagem para armazenar chaves privadas e certificados criptografados, e existe há tempo suficiente para que seja suportado em quase todos os lugares.

Uma nota importante é que, conforme visto no Wikipedia e na publicação do OpenJDK, o PKCS#12 se tornou o formato padrão de keystore para o Java 9. As motivações para isso estão em tradução livre abaixo:

As keystores JKS podem armazenar apenas chaves privadas e certificados de chave pública confiáveis e são baseadas em um formato proprietário que não é facilmente extensível a novos algoritmos criptográficos.

O PKCS#12 é um formato extensível, padrão e amplamente suportado para armazenar chaves criptográficas. A partir do JDK 8, as keystores PKCS#12 podem armazenar chaves privadas, certificados de chave pública confiáveis e chaves secretas. A mudança para PKCS#12 melhora a integridade e a confidencialidade da keystore. Também abre oportunidades de interoperabilidade com outros sistemas que também suportam o PKCS#12.

Então, apesar de ambos funcionarem e isso ser apenas um warning do Android Studio, faz sentido passar a usar PKCS#12 pelas vantagens e apoio que está recebendo.

Convertendo o JKS para PKCS#12

Parar migrar o formato da Keystore, você pode fazer uso do comando keytool -importkeystore. Seria algo como:

keytool -importkeystore -srckeystore C:\test.jks -srcstoretype JKS -destkeystore C:\test.p12 -deststoretype PKCS12

O keytool -importkeystore possui uma lista de parâmetros definidos na documentação que você pode utilizar, por exemplo, caso seu keystore tenha uma senha.

Parâmetro Definição
-srckeystore keystore Nome do keystore de origem
-destkeystore keystore Nome do keystore de destino
-srcstoretype type Tipo do keystore de origem
-deststoretype type Tipo do keystore de destino
-srcstorepass arg Senha do keystore de origem
-deststorepass arg Senha do keystore de destino
-srcprotected Keystore de origem protegido por senha
-srcprovidername name Nome do provedor do keystore de origem
-destprotected Keystore de destino protegido por senha
-destprovidername name Nome do provedor do keystore de destino
-srcalias alias Alias de origem
-destalias alias Alias de destino
-srckeypass arg Senha da chave de origem
-destkeypass arg Senha da chave de destino
-noprompt Não perguntar
-providerclass class [-providerarg arg] Adicionar provedor de segurança por nome de classe totalmente qualificado com um argumento opcional de configuração
-providerpath list Classpath do provedor
-v Saída detalhada (verbosa)

Neste artigo também há algumas informações sobre a conversão.

Você deve fazer log-in para responder a esta pergunta.

Esta não é a resposta que você está procurando? Pesquise outras perguntas com a tag .