• -certreq: ایجاد یک درخواست گواهی (Certificate Request)
• -changealias: تغییر نام مستعار (alias) یک مدخل
• -delete: حذف یک مدخل
• -exportcert: صدور (Export) گواهی
• -genkeypair: تولید یک جفت‌کلید (عمومی و خصوصی)
• -genseckey: تولید یک کلید مخفی (Secret Key)
• -gencert: تولید یک گواهی از روی یک درخواست گواهی
• -importcert: وارد کردن (Import) یک گواهی یا زنجیره گواهی
• -importpass: وارد کردن یک گذرواژه
• -importkeystore: وارد کردن یک یا تمام مدخل‌ها از یک انبار کلید (Keystore) دیگر
• -keypasswd: تغییر گذرواژه کلید مربوط به یک مدخل
• -list: فهرست کردن مدخل‌های موجود در انبار کلید
• -printcert: چاپ محتوای یک گواهی
• -printcertreq: چاپ محتوای یک درخواست گواهی
• -printcrl: چاپ محتوای یک فایل فهرست ابطال گواهی (CRL)
• -storepasswd: تغییر گذرواژه انبار کلید
• -showinfo: نمایش اطلاعات مرتبط با امنیت
• -version: چاپ نسخه برنامه

برای مشاهده شرح این دستورات به همراه گزینه‌های آن‌ها، بخش دستورات و گزینه‌ها را ببینید.

هنگام اجرای دستور -printcert، مقدار cert_file را با نام واقعی فایل جایگزین کنید:

keytool -printcert -file VScert.cer

• {-rfc}: خروجی با قالب سبک RFC (درخواست نظر)
• {-infile infile}: نام فایل ورودی
• {-outfile outfile}: نام فایل خروجی
• {-alias alias}: نام مستعار مدخل مورد پردازش
• {-sigalg sigalg}: نام الگوریتم امضا
• {-dname dname}: نام متمایز (Distinguished Name)
• {-startdate startdate}: تاریخ و زمان آغاز اعتبار گواهی
• {-ext ext}*: پسوند X.509
• {-validity days}: تعداد روزهای اعتبار
• [-keypass arg]: گذرواژه کلید
• {-keystore keystore}: نام انبار کلید
• [-storepass arg]: گذرواژه انبار کلید
• {-storetype type}: نوع انبار کلید
• {-providername name}: نام ارائه‌دهنده امنیت (Provider)
• {-addprovider name [-providerarg arg]}: افزودن ارائه‌دهنده امنیت با نام (مانند SunPKCS11) به همراه آرگومان پیکربندی اختیاری. مقدار ارائه‌دهنده امنیت نام ارائه‌دهنده‌ای است که در یک ماژول تعریف شده است.

•

{-providerclass class [-providerarg arg]}: افزودن ارائه‌دهنده امنیت با نام کلاس واجد شرایط کامل (Fully Qualified Class Name) با یک آرگومان پیکربندی اختیاری.

• {-providerpath list}: مسیر کلاس ارائه‌دهنده
• {-v}: خروجی با جزئیات کامل (Verbose)
• {-protected}: گذرواژه از طریق سازوکار محافظت‌شده ارائه می‌شود

از دستور -gencert برای تولید گواهی در پاسخ به یک فایل درخواست گواهی (که می‌تواند توسط دستور keytool -certreq ایجاد شود) استفاده کنید. دستور درخواست را از infile یا در صورت حذف، از ورودی استاندارد می‌خواند، آن را با استفاده از کلید خصوصی نام مستعار امضا می‌کند و گواهی X.509 را در outfile یا در صورت حذف، در خروجی استاندارد می‌نویسد. هنگامی که -rfc مشخص شود، قالب خروجی PEM با کدگذاری Base64 خواهد بود؛ در غیر این صورت، یک فایل دودویی DER ایجاد می‌شود. مقدار -sigalg الگوریتمی را که باید برای امضای گواهی استفاده شود مشخص می‌کند. آرگومان startdate زمان و تاریخ شروع اعتبار گواهی است. آرگومان days تعداد روزهایی را که گواهی باید معتبر در نظر گرفته شود مشخص می‌کند. هنگامی که dname ارائه شود، به عنوان موضوع (Subject) گواهی تولیدشده استفاده می‌شود؛ در غیر این صورت، از موضوع موجود در درخواست گواهی استفاده خواهد شد. مقدار -ext نشان می‌دهد چه پسوندهای X.509 در گواهی تعبیه خواهند شد. برای دستور زبان -ext بخش گزینه‌های عمومی دستورات را بخوانید. گزینه -gencert به شما امکان می‌دهد زنجیره‌های گواهی ایجاد کنید. مثال زیر یک گواهی به نام e1 ایجاد می‌کند که شامل سه گواهی در زنجیره گواهی خود است. دستورات زیر چهار جفت‌کلید به نام‌های ca، ca1، ca2 و e1 ایجاد می‌کنند:

keytool -alias ca -dname CN=CA -genkeypair -keyalg rsa
keytool -alias ca1 -dname CN=CA -genkeypair -keyalg rsa
keytool -alias ca2 -dname CN=CA -genkeypair -keyalg rsa
keytool -alias e1 -dname CN=E1 -genkeypair -keyalg rsa

دو دستور زیر زنجیره‌ای از گواهی‌های امضاشده ایجاد می‌کنند؛ ca گواهی ca1 را امضا می‌کند و ca1 گواهی ca2 را امضا می‌کند که همگی خودصادرشده هستند:

keytool -alias ca1 -certreq |
    keytool -alias ca -gencert -ext san=dns:ca1 |
    keytool -alias ca1 -importcert
keytool -alias ca2 -certreq |
    keytool -alias ca1 -gencert -ext san=dns:ca2 |
    keytool -alias ca2 -importcert

دستور زیر گواهی e1 را ایجاد کرده و آن را در فایل e1.cert ذخیره می‌کند که توسط ca2 امضا شده است. در نتیجه، e1 باید شامل ca، ca1 و ca2 در زنجیره گواهی خود باشد:

• {-alias alias}: نام مستعار مدخل مورد پردازش
• -keyalg alg: نام الگوریتم کلید
• {-keysize size}: اندازه بیتی کلید
• {-groupname name}: نام گروه. برای مثال، نام یک منحنی بیضوی (Elliptic Curve).
• {-sigalg alg}: نام الگوریتم امضا
• {-signer alias}: نام مستعار امضاکننده
• [-signerkeypass arg]: گذرواژه کلید امضاکننده
• [-dname name]: نام متمایز (Distinguished Name)
• {-startdate date}: تاریخ و زمان آغاز اعتبار گواهی
• {-ext value}*: پسوند X.509
• {-validity days}: تعداد روزهای اعتبار
• [-keypass arg]: گذرواژه کلید
• {-keystore keystore}: نام انبار کلید
• [-storepass arg]: گذرواژه انبار کلید
• {-storetype type}: نوع انبار کلید
• {-providername name}: نام ارائه‌دهنده امنیت
• {-addprovider name [-providerarg arg]}: افزودن ارائه‌دهنده امنیت با نام (مانند SunPKCS11) به همراه آرگومان پیکربندی اختیاری.
• {-providerclass class [-providerarg arg] }: افزودن ارائه‌دهنده امنیت با نام کلاس واجد شرایط کامل با یک آرگومان پیکربندی اختیاری.
• {-providerpath list}: مسیر کلاس ارائه‌دهنده
• {-v}: خروجی با جزئیات کامل
• {-protected}: گذرواژه از طریق سازوکار محافظت‌شده ارائه می‌شود

از دستور -genkeypair برای تولید یک جفت‌کلید (یک کلید عمومی و کلید خصوصی مرتبط) استفاده کنید. هنگامی که گزینه -signer مشخص نشده باشد، کلید عمومی در یک گواهی خودامضاشده X.509 v3 پیچیده شده و به عنوان یک زنجیره گواهی تک‌عضوی ذخیره می‌شود. هنگامی که گزینه -signer مشخص شود، گواهی جدیدی تولید شده و توسط امضاکننده تعیین‌شده امضا می‌شود و به عنوان یک زنجیره گواهی چندعضوی (شامل خود گواهی تولیدشده و زنجیره گواهی امضاکننده) ذخیره می‌شود. زنجیره گواهی و کلید خصوصی در یک مدخل جدید انبار کلید ذخیره می‌شوند که با نام مستعار آن شناسایی می‌شود. مقدار -keyalg الگوریتم مورد استفاده برای تولید جفت‌کلید را مشخص می‌کند. مقدار -keysize اندازه هر کلید تولیدشده را مشخص می‌کند. مقدار -groupname گروه نام‌گذاری‌شده (برای مثال، نام استاندارد یا از پیش‌تعریف‌شده یک منحنی بیضوی) کلید تولیدشده را مشخص می‌کند. هنگامی که مقدار -keysize ارائه شود، برای مقداردهی اولیه یک شیء KeyPairGenerator با استفاده از متد initialize(int keysize) استفاده خواهد شد. هنگامی که مقدار -groupname ارائه شود، برای مقداردهی اولیه یک شیء KeyPairGenerator با استفاده از متد initialize(AlgorithmParameterSpec params) که در آن params برابر با new NamedParameterSpec(groupname) است استفاده خواهد شد. تنها یکی از دو گزینه -groupname و -keysize می‌تواند مشخص شود. اگر یک الگوریتم دارای چندین گروه نام‌گذاری‌شده با اندازه کلید یکسان باشد، معمولاً باید از گزینه -groupname استفاده شود. در این حالت، اگر -keysize مشخص شود، انتخاب گروه نام‌گذاری‌شده هنگام تولید جفت‌کلید بر عهده ارائه‌دهنده امنیت خواهد بود. مقدار -sigalg الگوریتم مورد استفاده برای امضای گواهی را مشخص می‌کند. این الگوریتم باید با مقدار -keyalg سازگار باشد. مقدار -signer نام مستعار یک PrivateKeyEntry برای امضاکننده‌ای را مشخص می‌کند که از قبل در انبار کلید وجود دارد. این گزینه برای امضای گواهی با کلید خصوصی امضاکننده استفاده می‌شود. این امر به ویژه برای الگوریتم‌های توافق کلید (مانند مواردی که مقدار -keyalg برابر با XDH، X25519، X448 یا DH است) مفید است، زیرا این کلیدها نمی‌توانند برای امضاهای دیجیتال استفاده شوند و بنابراین گواهی خودامضاشده برای آن‌ها قابل ایجاد نیست. مقدار -signerkeypass گذرواژه کلید خصوصی امضاکننده را مشخص می‌کند. اگر کلید خصوصی مدخل امضاکننده با گذرواژه‌ای متفاوت از گذرواژه انبار کلید محافظت شده باشد، می‌توان این گزینه را مشخص کرد. مقدار -dname نام متمایز X.500 مرتبط با مقدار -alias را مشخص می‌کند. اگر گزینه -signer مشخص نشود، فیلدهای صادرکننده (issuer) و موضوع (subject) گواهی خودامضاشده با نام متمایز مشخص‌شده مقداردهی می‌شوند. اگر گزینه -signer مشخص شود، فیلد موضوع گواهی با نام متمایز مشخص‌شده و فیلد صادرکننده با فیلد موضوع گواهی امضاکننده مقداردهی می‌شود. اگر نام متمایز در خط فرمان ارائه نشود، از کاربر درخواست خواهد شد. مقدار -keypass گذرواژه‌ای است که برای محافظت از کلید خصوصی جفت‌کلید تولیدشده استفاده می‌شود. اگر گذرواژه‌ای ارائه نشود، از کاربر درخواست خواهد شد. اگر در اعلان کلید Return (Enter) را فشار دهید، گذرواژه کلید برابر با گذرواژه انبار کلید تنظیم می‌شود. مقدار -keypass باید حداقل دارای شش کاراکتر باشد. مقدار -startdate زمان صدور گواهی را مشخص می‌کند که به عنوان مقدار "Not Before" فیلد Validity گواهی X.509 نیز شناخته می‌شود. مقدار گزینه را می‌توان در یکی از این دو قالب تنظیم کرد:

([+-]nnn[ymdHMS])+ [yyyy/mm/dd] [HH:MM:SS]

در قالب اول، زمان صدور به میزان مقدار مشخص‌شده نسبت به زمان جاری جابجا می‌شود. مقدار ترکیبی از دنباله‌ای از زیرمقادیر است. درون هر زیرمقدار، علامت مثبت (+) به معنای جابجایی به جلو و علامت منفی (-) به معنای جابجایی به عقب است. زمان جابجایی شامل nnn واحد سال، ماه، روز، ساعت، دقیقه یا ثانیه است (که به ترتیب با یک کاراکتر منفرد y، m، d، H، M یا S مشخص می‌شود). مقدار دقیق زمان صدور با استفاده از متد java.util.GregorianCalendar.add(int field, int amount) روی هر زیرمقدار از چپ به راست محاسبه می‌شود. برای مثال، زمان صدور می‌تواند به صورت زیر مشخص شود:

Calendar c = new GregorianCalendar();
c.add(Calendar.YEAR, -1);
c.add(Calendar.MONTH, 1);
c.add(Calendar.DATE, -1);
return c.getTime()

در قالب دوم، کاربر زمان دقیق صدور را در دو بخش سال/ماه/روز و ساعت:دقیقه:ثانیه (با استفاده از منطقه زمانی محلی) تنظیم می‌کند. کاربر می‌تواند تنها یک بخش را ارائه دهد که به معنای یکسان بودن بخش دیگر با تاریخ (یا زمان) جاری است. کاربر باید تعداد دقیق ارقام نشان‌داده‌شده در تعریف قالب را وارد کند (در صورت کوتاه‌تر بودن با 0 پر شود). هنگامی که هر دو بخش تاریخ و زمان ارائه شوند، دقیقاً یک کاراکتر فاصله میان دو بخش قرار می‌گیرد. ساعت همیشه باید در قالب ۲۴ ساعته ارائه شود. هنگامی که گزینه ارائه نشود، تاریخ شروع برابر با زمان جاری خواهد بود. این گزینه فقط یک بار می‌تواند ارائه شود. مقدار date تعداد روزهایی را مشخص می‌کند (شروع از تاریخ مشخص‌شده توسط -startdate، یا تاریخ جاری در صورت عدم تعیین -startdate) که گواهی باید معتبر در نظر گرفته شود.

• {-alias alias}: نام مستعار مدخل مورد پردازش
• [-keypass arg]: گذرواژه کلید
• -keyalg alg: نام الگوریتم کلید
• {-keysize size}: اندازه بیتی کلید
• {-keystore keystore}: نام انبار کلید
• [-storepass arg]: گذرواژه انبار کلید
• {-storetype type}: نوع انبار کلید
• {-providername name}: نام ارائه‌دهنده امنیت
• {-addprovider name [-providerarg arg]}: افزودن ارائه‌دهنده امنیت با نام (مانند SunPKCS11) به همراه آرگومان پیکربندی اختیاری.
• {-providerclass class [-providerarg arg]}: افزودن ارائه‌دهنده امنیت با نام کلاس واجد شرایط کامل با یک آرگومان پیکربندی اختیاری.
• {-providerpath list}: مسیر کلاس ارائه‌دهنده
• {-v}: خروجی با جزئیات کامل
• {-protected}: گذرواژه از طریق سازوکار محافظت‌شده ارائه می‌شود

از دستور -genseckey برای تولید یک کلید مخفی و ذخیره آن در یک مدخل جدید KeyStore.SecretKeyEntry که با alias شناسایی می‌شود استفاده کنید. مقدار -keyalg الگوریتم مورد استفاده برای تولید کلید مخفی را مشخص می‌کند و مقدار -keysize اندازه کلید تولیدشده را تعیین می‌کند. مقدار -keypass گذرواژه‌ای است که از کلید مخفی محافظت می‌کند. اگر گذرواژه‌ای ارائه نشود، از کاربر درخواست خواهد شد. اگر در اعلان کلید Return را فشار دهید، گذرواژه کلید برابر با گذرواژه مورد استفاده برای -keystore تنظیم می‌شود. مقدار -keypass باید حداقل دارای شش کاراکتر باشد.

• {-noprompt}: عدم نمایش اعلان تعاملی
• {-trustcacerts}: اعتماد به گواهی‌های موجود در cacerts
• {-protected}: گذرواژه از طریق سازوکار محافظت‌شده ارائه می‌شود
• {-alias alias}: نام مستعار مدخل مورد پردازش
• {-file file}: نام فایل ورودی
• [-keypass arg]: گذرواژه کلید
• {-keystore keystore}: نام انبار کلید
• {-cacerts}: دسترسی به انبار کلید cacerts
• [-storepass arg]: گذرواژه انبار کلید
• {-storetype type}: نوع انبار کلید
• {-providername name}: نام ارائه‌دهنده امنیت
• {-addprovider name [-providerarg arg]}: افزودن ارائه‌دهنده امنیت با نام (مانند SunPKCS11) به همراه آرگومان پیکربندی اختیاری.
• {-providerclass class [-providerarg arg]}: افزودن ارائه‌دهنده امنیت با نام کلاس واجد شرایط کامل با یک آرگومان پیکربندی اختیاری.
• {-providerpath list}: مسیر کلاس ارائه‌دهنده
• {-v}: خروجی با جزئیات کامل

از دستور -importcert برای خواندن گواهی یا زنجیره گواهی (که در آن زنجیره در قالب پاسخ PKCS#7 یا دنباله‌ای از گواهی‌های X.509 ارائه می‌شود) از فایل -file file و ذخیره آن در مدخل keystore مشخص‌شده با -alias استفاده کنید. اگر -file file مشخص نشود، گواهی یا زنجیره گواهی از stdin خوانده می‌شود. دستور keytool می‌تواند گواهی‌های X.509 نسخه‌های ۱، ۲ و ۳ و زنجیره‌های گواهی با قالب PKCS#7 متشکل از این نوع گواهی‌ها را وارد کند. داده‌های ورودی باید در قالب کدگذاری دودویی یا قالب کدگذاری متنی قابل‌چاپ (معروف به کدگذاری Base64) طبق استاندارد RFC 1421 اینترنت ارائه شوند. در حالت دوم، داده‌های کدگذاری‌شده باید در ابتدا با رشته‌ای که با -----BEGIN شروع می‌شود و در انتها با رشته‌ای که با -----END پایان می‌یابد محصور شوند. شما به دو دلیل یک گواهی را وارد می‌کنید: افزودن آن به فهرست گواهی‌های مورد اعتماد، و وارد کردن پاسخ گواهی دریافت شده از یک مرجع صدور گواهی (CA) در نتیجه ارسال درخواست امضای گواهی (CSR) به آن CA. دستور -certreq را در بخش دستورات ایجاد درخواست گواهی ببینید. نوع عملیات وارد کردن توسط مقدار گزینه -alias مشخص می‌شود. اگر نام مستعار به مدخل کلید اشاره نکند، دستور keytool فرض می‌کند که در حال افزودن یک مدخل گواهی مورد اعتماد هستید. در این حالت، نام مستعار نباید از قبل در انبار کلید وجود داشته باشد. اگر نام مستعار وجود داشته باشد، دستور keytool خطایی صادر می‌کند زیرا یک گواهی مورد اعتماد از قبل برای آن نام مستعار وجود دارد و گواهی را وارد نمی‌کند. اگر -alias به یک مدخل کلید اشاره کند، دستور keytool فرض می‌کند که در حال وارد کردن پاسخ گواهی هستید.

• {-alias alias}: نام مستعار مدخل مورد پردازش
• [-keypass arg]: گذرواژه کلید
• {-keyalg alg}: نام الگوریتم کلید
• {-keysize size}: اندازه بیتی کلید
• {-keystore keystore}: نام انبار کلید
• [-storepass arg]: گذرواژه انبار کلید
• {-storetype type}: نوع انبار کلید
• {-providername name}: نام ارائه‌دهنده امنیت
• {-addprovider name [-providerarg arg]}: افزودن ارائه‌دهنده امنیت با نام (مانند SunPKCS11) به همراه آرگومان پیکربندی اختیاری.
• {-providerclass class [-providerarg arg]}: افزودن ارائه‌دهنده امنیت با نام کلاس واجد شرایط کامل با یک آرگومان پیکربندی اختیاری.
• {-providerpath list}: مسیر کلاس ارائه‌دهنده
• {-v}: خروجی با جزئیات کامل
• {-protected}: گذرواژه از طریق سازوکار محافظت‌شده ارائه می‌شود

از دستور -importpass برای وارد کردن یک عبارت عبور و ذخیره آن در یک مدخل جدید KeyStore.SecretKeyEntry که با -alias شناسایی می‌شود استفاده کنید. عبارت عبور می‌تواند از طریق جریان ورودی استاندارد ارائه شود؛ در غیر این صورت از کاربر درخواست خواهد شد. گزینه -keypass گذرواژه‌ای برای محافظت از عبارت عبور واردشده فراهم می‌کند. اگر گذرواژه‌ای ارائه نشود، از کاربر درخواست خواهد شد. اگر در اعلان کلید Return را فشار دهید، گذرواژه کلید برابر با گذرواژه مورد استفاده برای keystore تنظیم می‌شود. مقدار -keypass باید حداقل دارای شش کاراکتر باشد.

• -srckeystore keystore: نام انبار کلید مبدأ
• {-destkeystore keystore}: نام انبار کلید مقصد
• {-srcstoretype type}: نوع انبار کلید مبدأ
• {-deststoretype type}: نوع انبار کلید مقصد
• [-srcstorepass arg]: گذرواژه انبار کلید مبدأ
• [-deststorepass arg]: گذرواژه انبار کلید مقصد
• {-srcprotected}: گذرواژه انبار کلید مبدأ محافظت‌شده است
• {-destprotected}: گذرواژه انبار کلید مقصد محافظت‌شده است
• {-srcprovidername name}: نام ارائه‌دهنده انبار کلید مبدأ
• {-destprovidername name}: نام ارائه‌دهنده انبار کلید مقصد
• {-srcalias alias}: نام مستعار مبدأ
• {-destalias alias}: نام مستعار مقصد
• [-srckeypass arg]: گذرواژه کلید مبدأ
• [-destkeypass arg]: گذرواژه کلید مقصد
• {-noprompt}: عدم نمایش اعلان تعاملی
• {-addprovider name [-providerarg arg]}: افزودن ارائه‌دهنده امنیت با نام (مانند SunPKCS11) به همراه آرگومان پیکربندی اختیاری.
• {-providerclass class [-providerarg arg]}: افزودن ارائه‌دهنده امنیت با نام کلاس واجد شرایط کامل با یک آرگومان پیکربندی اختیاری
• {-providerpath list}: مسیر کلاس ارائه‌دهنده
• {-v}: خروجی با جزئیات کامل

نکته: این خط اول تمام گزینه‌ها است:

از دستور -importkeystore برای وارد کردن یک مدخل یا تمام مدخل‌ها از یک انبار کلید مبدأ به یک انبار کلید مقصد استفاده کنید.

نکته: اگر هنگام استفاده از دستور keytool -importkeystore گزینه -destkeystore را مشخص نکنید، انبار کلید پیش‌فرض مورد استفاده $HOME/.keystore خواهد بود.

هنگامی که گزینه -srcalias ارائه شود، دستور تنها مدخل مشخص‌شده با آن نام مستعار را به انبار کلید مقصد وارد می‌کند. اگر نام مستعار مقصد با -destalias ارائه نشود، از -srcalias به عنوان نام مستعار مقصد استفاده می‌شود. اگر مدخل مبدأ با گذرواژه محافظت شده باشد، از -srckeypass برای بازیابی مدخل استفاده می‌شود. اگر -srckeypass ارائه نشود، دستور keytool تلاش می‌کند از -srcstorepass برای بازیابی مدخل استفاده کند. اگر -srcstorepass ارائه نشده یا نادرست باشد، گذرواژه از کاربر پرسیده می‌شود. مدخل مقصد با -destkeypass محافظت می‌شود. اگر -destkeypass ارائه نشود، مدخل مقصد با گذرواژه مدخل مبدأ محافظت خواهد شد. برای مثال، اکثر ابزارهای شخص ثالث نیازمند یکسان بودن storepass و keypass در انبار کلید PKCS #12 هستند. برای ایجاد یک انبار کلید PKCS#12 برای این ابزارها، همیشه مقداری برای -destkeypass تعیین کنید که با -deststorepass یکسان باشد. اگر گزینه -srcalias ارائه نشود، تمام مدخل‌های انبار کلید مبدأ به انبار کلید مقصد وارد می‌شوند. هر مدخل مقصد تحت همان نام مستعار مدخل مبدأ ذخیره می‌شود. اگر مدخل مبدأ با گذرواژه محافظت شده باشد، از -srcstorepass برای بازیابی مدخل استفاده می‌شود. اگر -srcstorepass ارائه نشده یا نادرست باشد، گذرواژه از کاربر پرسیده می‌شود. اگر نوع یک مدخل انبار کلید مبدأ در انبار کلید مقصد پشتیبانی نشود، یا اگر هنگام ذخیره یک مدخل در انبار کلید مقصد خطایی رخ دهد، از کاربر پرسیده می‌شود که آیا مایل به رد کردن مدخل و ادامه است یا خروج از برنامه. مدخل مقصد با گذرواژه مدخل مبدأ محافظت می‌شود. اگر نام مستعار مقصد از قبل در انبار کلید مقصد وجود داشته باشد، از کاربر پرسیده می‌شود که آیا مدخل رونویسی شود یا یک مدخل جدید با نام مستعار متفاوت ایجاد گردد. اگر گزینه -noprompt ارائه شود، از کاربر برای نام مستعار جدید سوال نخواهد شد. مدخل‌های موجود با نام مستعار مقصد رونویسی می‌شوند. مدخل‌هایی که قابل وارد کردن نباشند نادیده گرفته شده و هشداری نمایش داده می‌شود.

• {-alias alias}: نام مستعار مدخل مورد پردازش
• {-sigalg alg}: نام الگوریتم امضا
• {-file file}: نام فایل خروجی
• [ -keypass arg]: گذرواژه کلید
• {-keystore keystore}: نام انبار کلید
• {-dname name}: نام متمایز (Distinguished Name)
• {-ext value}: پسوند X.509
• [-storepass arg]: گذرواژه انبار کلید
• {-storetype type}: نوع انبار کلید
• {-providername name}: نام ارائه‌دهنده امنیت
• {-addprovider name [-providerarg arg]}: افزودن ارائه‌دهنده امنیت با نام (مانند SunPKCS11) به همراه آرگومان پیکربندی اختیاری.
• {-providerclass class [-providerarg arg]}: افزودن ارائه‌دهنده امنیت با نام کلاس واجد شرایط کامل با یک آرگومان پیکربندی اختیاری.
• {-providerpath list}: مسیر کلاس ارائه‌دهنده
• {-v}: خروجی با جزئیات کامل
• {-protected}: گذرواژه از طریق سازوکار محافظت‌شده ارائه می‌شود

از دستور -certreq برای ایجاد یک درخواست امضای گواهی (CSR) با استفاده از قالب PKCS #10 استفاده کنید. یک CSR به منظور ارسال به مرجع صدور گواهی (CA) ایجاد می‌شود. مرجع CA درخواست‌کننده گواهی را (معمولاً به صورت برون‌خط) احراز هویت کرده و یک گواهی یا زنجیره گواهی بازمی‌گرداند تا جایگزین زنجیره گواهی موجود (در ابتدا یک گواهی خودامضاشده) در انبار کلید شود. کلید خصوصی مرتبط با alias برای ایجاد درخواست گواهی PKCS #10 استفاده می‌شود. برای دسترسی به کلید خصوصی باید گذرواژه صحیح ارائه شود. اگر -keypass در خط فرمان ارائه نشود و متفاوت از گذرواژه مورد استفاده برای محافظت از یکپارچگی انبار کلید باشد، از کاربر درخواست خواهد شد. اگر -dname ارائه شود، به عنوان موضوع (Subject) در CSR استفاده می‌شود؛ در غیر این صورت، از نام متمایز X.500 مرتبط با نام مستعار استفاده خواهد شد. مقدار -sigalg الگوریتم مورد استفاده برای امضای CSR را مشخص می‌کند. درخواست CSR در فایل -file file ذخیره می‌شود. اگر فایلی مشخص نشود، CSR در -stdout نوشته می‌شود. برای وارد کردن پاسخ دریافت شده از CA از دستور -importcert استفاده کنید.

• {-rfc}: خروجی با قالب سبک RFC
• {-alias alias}: نام مستعار مدخل مورد پردازش
• {-file file}: نام فایل خروجی
• {-keystore keystore}: نام انبار کلید
• {-cacerts}: دسترسی به انبار کلید cacerts
• [-storepass arg]: گذرواژه انبار کلید
• {-storetype type}: نوع انبار کلید
• {-providername name}: نام ارائه‌دهنده امنیت
• {-addprovider name [-providerarg arg]}: افزودن ارائه‌دهنده امنیت با نام (مانند SunPKCS11) به همراه آرگومان پیکربندی اختیاری.
• {-providerclass class [-providerarg arg] }: افزودن ارائه‌دهنده امنیت با نام کلاس واجد شرایط کامل با یک آرگومان پیکربندی اختیاری.
• {-providerpath list}: مسیر کلاس ارائه‌دهنده
• {-v}: خروجی با جزئیات کامل
• {-protected}: گذرواژه از طریق سازوکار محافظت‌شده ارائه می‌شود

از دستور -exportcert برای خواندن یک گواهی از انبار کلید که با -alias alias مرتبط است و ذخیره آن در -file file استفاده کنید. هنگامی که فایلی مشخص نشود، گواهی به stdout ارسال می‌شود. به طور پیش‌فرض، گواهی در قالب کدگذاری دودویی صادر می‌شود. اگر گزینه -rfc مشخص شود، خروجی در قالب کدگذاری متنی قابل‌چاپ تعریف‌شده توسط استاندارد کدگذاری گواهی RFC 1421 اینترنت خواهد بود. اگر -alias به یک گواهی مورد اعتماد اشاره کند، همان گواهی صادر می‌شود. در غیر این صورت، -alias به یک مدخل کلید همراه با زنجیره گواهی مرتبط اشاره دارد. در این حالت، اولین گواهی در زنجیره بازگردانده می‌شود. این گواهی کلید عمومی هویتی را که توسط -alias مشخص شده احراز هویت می‌کند.

• {-rfc}: خروجی با قالب سبک RFC
• {-alias alias}: نام مستعار مدخل مورد پردازش
• {-keystore keystore}: نام انبار کلید
• {-cacerts}: دسترسی به انبار کلید cacerts
• [-storepass arg]: گذرواژه انبار کلید
• {-storetype type}: نوع انبار کلید
• {-providername name}: نام ارائه‌دهنده امنیت
• {-addprovider name [-providerarg arg]}: افزودن ارائه‌دهنده امنیت با نام (مانند SunPKCS11) به همراه آرگومان پیکربندی اختیاری.
• {-providerclass class [-providerarg arg] }: افزودن ارائه‌دهنده امنیت با نام کلاس واجد شرایط کامل با یک آرگومان پیکربندی اختیاری.
• {-providerpath list}: مسیر کلاس ارائه‌دهنده
• {-v}: خروجی با جزئیات کامل
• {-protected}: گذرواژه از طریق سازوکار محافظت‌شده ارائه می‌شود

از دستور -list برای چاپ محتوای مدخل انبار کلید شناسایی‌شده با -alias در stdout استفاده کنید. اگر -alias alias مشخص نشود، محتوای کل انبار کلید چاپ می‌شود. به طور پیش‌فرض، این دستور اثرانگشت SHA-256 گواهی را چاپ می‌کند. اگر گزینه -v مشخص شود، گواهی در قالب خوانا برای انسان به همراه اطلاعات اضافی مانند مالک، صادرکننده، شماره سریال و هرگونه پسوند چاپ می‌شود. اگر گزینه -rfc مشخص شود، محتوای گواهی با استفاده از قالب کدگذاری قابل‌چاپ تعریف‌شده توسط استاندارد کدگذاری گواهی RFC 1421 اینترنت چاپ می‌شود.

نکته: نمی‌توانید هر دو گزینه -v و -rfc را در یک دستور مشخص کنید؛ در غیر این صورت خطا گزارش می‌شود.

• {-rfc}: خروجی با قالب سبک RFC
• {-file cert_file}: نام فایل ورودی
• {-sslserver server[:port]}: میزبان و درگاه سرور لایه سوکت‌های امن (SSL)
• {-jarfile JAR_file}: فایل امضاشده .jar
• {-keystore keystore}: نام انبار کلید
• {-trustcacerts}: اعتماد به گواهی‌های موجود در cacerts
• [-storepass arg]: گذرواژه انبار کلید
• {-storetype type}: نوع انبار کلید
• {-providername name}: نام ارائه‌دهنده امنیت
• {-addprovider name [-providerarg arg]}: افزودن ارائه‌دهنده امنیت با نام (مانند SunPKCS11) به همراه آرگومان پیکربندی اختیاری.
• {-providerclass class [-providerarg arg]}: افزودن ارائه‌دهنده امنیت با نام کلاس واجد شرایط کامل با یک آرگومان پیکربندی اختیاری.
• {-providerpath list}: مسیر کلاس ارائه‌دهنده
• {-protected}: گذرواژه از طریق سازوکار محافظت‌شده ارائه می‌شود
• {-v}: خروجی با جزئیات کامل

از دستور -printcert برای خواندن و چاپ گواهی از فایل -file cert_file، سرور SSL واقع در -sslserver server[:port] یا فایل JAR امضاشده مشخص‌شده توسط -jarfile JAR_file استفاده کنید. این دستور محتوای گواهی را در قالبی خوانا برای انسان چاپ می‌کند. هنگامی که درگاهی مشخص نشود، درگاه استاندارد HTTPS یعنی 443 فرض می‌شود.

نکته: گزینه‌های -sslserver و -file نمی‌توانند در یک دستور با هم ارائه شوند؛ در غیر این صورت خطا گزارش می‌شود. اگر هیچ‌یک از این دو گزینه را مشخص نکنید، گواهی از stdin خوانده می‌شود. هنگامی که -rfc مشخص شود، دستور keytool گواهی را در حالت PEM طبق تعریف استاندارد کدگذاری گواهی RFC 1421 اینترنت چاپ می‌کند. اگر گواهی از یک فایل یا stdin خوانده شود، ممکن است با کدگذاری دودویی یا قالب کدگذاری قابل‌چاپ طبق استاندارد RFC 1421 باشد. اگر سرور SSL پشت یک دیوار آتش (فایروال) باشد، گزینه‌های -J-Dhttps.proxyHost=proxyhost و -J-Dhttps.proxyPort=proxyport می‌توانند در خط فرمان برای تونل‌زنی از طریق پراکسی مشخص شوند.

نکته: این دستور می‌تواند مستقل از یک انبار کلید استفاده شود. این دستور ضعف الگوریتم امضای گواهی را در صورتی که یک گواهی مورد اعتماد در انبار کلید کاربر (مشخص‌شده با -keystore) یا در انبار کلید cacerts (در صورت تعیین -trustcacerts) باشد، بررسی نمی‌کند.

• {-file file}: نام فایل ورودی
• {-v}: خروجی با جزئیات کامل

از دستور -printcertreq برای چاپ محتوای یک درخواست گواهی با قالب PKCS #10 (که توسط دستور keytool -certreq تولید می‌شود) استفاده کنید. این دستور درخواست را از فایل می‌خواند؛ اگر فایلی وجود نداشته باشد، درخواست از ورودی استاندارد خوانده می‌شود.

• {-file crl}: نام فایل ورودی
• {-keystore keystore}: نام انبار کلید
• {-trustcacerts}: اعتماد به گواهی‌های موجود در cacerts
• [-storepass arg]: گذرواژه انبار کلید
• {-storetype type}: نوع انبار کلید
• {-providername name}: نام ارائه‌دهنده امنیت
• {-addprovider name [-providerarg arg]}: افزودن ارائه‌دهنده امنیت با نام (مانند SunPKCS11) به همراه آرگومان پیکربندی اختیاری.
• {-providerclass class [-providerarg arg]}: افزودن ارائه‌دهنده امنیت با نام کلاس واجد شرایط کامل با یک آرگومان پیکربندی اختیاری.
• {-providerpath list}: مسیر کلاس ارائه‌دهنده
• {-protected}: گذرواژه از طریق سازوکار محافظت‌شده ارائه می‌شود
• {-v}: خروجی با جزئیات کامل

از دستور -printcrl برای خواندن فهرست ابطال گواهی (CRL) از -file crl استفاده کنید. یک CRL فهرستی از گواهی‌های دیجیتالی است که توسط مرجع صدور صادرکننده آن‌ها باطل شده‌اند. مرجع CA فایل crl را تولید می‌کند.

نکته: این دستور می‌تواند مستقل از یک انبار کلید استفاده شود. این دستور تلاش می‌کند CRL را با استفاده از گواهی موجود در انبار کلید کاربر (مشخص‌شده با -keystore) یا انبار کلید cacerts (در صورت تعیین -trustcacerts) اعتبارسنجی کند و در صورت عدم امکان اعتبارسنجی، هشداری چاپ خواهد کرد.

• [-new arg]: گذرواژه جدید
• {-keystore keystore}: نام انبار کلید
• {-cacerts}: دسترسی به انبار کلید cacerts
• [-storepass arg]: گذرواژه انبار کلید
• {-storetype type}: نوع انبار کلید
• {-providername name}: نام ارائه‌دهنده امنیت
• {-addprovider name [-providerarg arg]}: افزودن ارائه‌دهنده امنیت با نام (مانند SunPKCS11) به همراه آرگومان پیکربندی اختیاری.
• {-providerclass class [-providerarg arg]}: افزودن ارائه‌دهنده امنیت با نام کلاس واجد شرایط کامل با یک آرگومان پیکربندی اختیاری.
• {-providerpath list}: مسیر کلاس ارائه‌دهنده
• {-v}: خروجی با جزئیات کامل

از دستور -storepasswd برای تغییر گذرواژه مورد استفاده جهت محافظت از یکپارچگی محتویات انبار کلید استفاده کنید. گذرواژه جدید با -new arg تنظیم می‌شود و باید حداقل دارای شش کاراکتر باشد.

• {-alias alias}: نام مستعار مدخل مورد پردازش
• [-keypass old_keypass]: گذرواژه کلید
• [-new new_keypass]: گذرواژه جدید
• {-keystore keystore}: نام انبار کلید
• {-storepass arg}: گذرواژه انبار کلید
• {-storetype type}: نوع انبار کلید
• {-providername name}: نام ارائه‌دهنده امنیت
• {-addprovider name [-providerarg arg]}: افزودن ارائه‌دهنده امنیت با نام (مانند SunPKCS11) به همراه آرگومان پیکربندی اختیاری.
• {-providerclass class [-providerarg arg]}: افزودن ارائه‌دهنده امنیت با نام کلاس واجد شرایط کامل با یک آرگومان پیکربندی اختیاری.
• {-providerpath list}: مسیر کلاس ارائه‌دهنده
• {-v}: خروجی با جزئیات کامل

از دستور -keypasswd برای تغییر گذرواژه‌ای که کلیدهای خصوصی/مخفی مشخص‌شده با -alias تحت آن محافظت می‌شوند از -keypass old_keypass به -new new_keypass استفاده کنید. مقدار گذرواژه باید حداقل دارای شش کاراکتر باشد. اگر گزینه -keypass در خط فرمان ارائه نشود و گذرواژه -keypass با گذرواژه انبار کلید (-storepass arg) متفاوت باشد، از کاربر درخواست خواهد شد. اگر گزینه -new در خط فرمان ارائه نشود، از کاربر درخواست خواهد شد.

• [-alias alias]: نام مستعار مدخل مورد پردازش
• {-keystore keystore}: نام انبار کلید
• {-cacerts}: دسترسی به انبار کلید cacerts
• [-storepass arg]: گذرواژه انبار کلید
• {-storetype type}: نوع انبار کلید
• {-providername name}: نام ارائه‌دهنده امنیت
• {-addprovider name [-providerarg arg]}: افزودن ارائه‌دهنده امنیت با نام (مانند SunPKCS11) به همراه آرگومان پیکربندی اختیاری.
• {-providerclass class [-providerarg arg]}: افزودن ارائه‌دهنده امنیت با نام کلاس واجد شرایط کامل با یک آرگومان پیکربندی اختیاری.
• {-providerpath list}: مسیر کلاس ارائه‌دهنده
• {-v}: خروجی با جزئیات کامل
• {-protected}: گذرواژه از طریق سازوکار محافظت‌شده ارائه می‌شود

از دستور -delete برای حذف مدخل -alias alias از انبار کلید استفاده کنید. در صورت عدم ارائه در خط فرمان، نام مستعار (alias) از کاربر پرسیده می‌شود.

• {-alias alias}: نام مستعار مدخل مورد پردازش
• [-destalias alias]: نام مستعار مقصد
• [-keypass arg]: گذرواژه کلید
• {-keystore keystore}: نام انبار کلید
• {-cacerts}: دسترسی به انبار کلید cacerts
• [-storepass arg]: گذرواژه انبار کلید
• {-storetype type}: نوع انبار کلید
• {-providername name}: نام ارائه‌دهنده امنیت
• {-addprovider name [-providerarg arg]}: افزودن ارائه‌دهنده امنیت با نام (مانند SunPKCS11) به همراه آرگومان پیکربندی اختیاری.
• {-providerclass class [-providerarg arg]}: افزودن ارائه‌دهنده امنیت با نام کلاس واجد شرایط کامل با یک آرگومان پیکربندی اختیاری.
• {-providerpath list}: مسیر کلاس ارائه‌دهنده
• {-v}: خروجی با جزئیات کامل
• {-protected}: گذرواژه از طریق سازوکار محافظت‌شده ارائه می‌شود

از دستور -changealias برای انتقال یک مدخل موجود در انبار کلید از -alias alias به یک -destalias alias جدید استفاده کنید. اگر نام مستعار مقصد ارائه نشود، دستور آن را از شما درخواست خواهد کرد. اگر مدخل اصلی با گذرواژه مدخل محافظت شده باشد، می‌توان گذرواژه را با گزینه -keypass ارائه داد. اگر گذرواژه کلید ارائه نشود، ابتدا -storepass (در صورت ارائه) آزمایش می‌شود. اگر این تلاش با شکست مواجه شود، گذرواژه از کاربر پرسیده خواهد شد.

• {-tls}: نمایش اطلاعات پیکربندی TLS
• {-v}: خروجی با جزئیات کامل

از دستور -showinfo برای نمایش اطلاعات گوناگون امنیتی استفاده کنید. گزینه -tls پیکربندی‌های TLS مانند فهرست پروتکل‌ها و مجموعه‌های رمزنگاری (Cipher Suites) فعال را نمایش می‌دهد.

اگر نوع انبار کلید JKS استفاده شود و فایل انبار کلید هنوز وجود نداشته باشد، اجرای برخی دستورات keytool می‌تواند منجر به ایجاد یک فایل انبار کلید جدید شود. برای مثال، اگر keytool -genkeypair فراخوانی شود و گزینه -keystore مشخص نشده باشد، فایل انبار کلید پیش‌فرض به نام .keystore در دایرکتوری خانگی کاربر در صورت عدم وجود ایجاد می‌شود. مشابهاً، اگر گزینه -keystore ks_file مشخص شود اما ks_file وجود نداشته باشد، فایل ایجاد خواهد شد. برای اطلاعات بیشتر در مورد نوع storetype از نوع JKS، بخش پیاده‌سازی انبار کلید را در اصطلاحات ببینید. توجه داشته باشید که جریان ورودی از گزینه -keystore به متد KeyStore.load ارسال می‌شود. اگر NONE به عنوان نشانی URL مشخص شود، یک جریان پوچ (null stream) به متد KeyStore.load ارسال خواهد شد. در صورتی که انبار کلید مبتنی بر فایل نباشد (برای مثال، هنگامی که انبار کلید روی یک دستگاه توکن سخت‌افزاری قرار دارد)، باید مقدار NONE مشخص شود.

اگر اصلاح‌کننده env یا file مشخص نشود، گذرواژه دارای مقدار argument خواهد بود که باید حداقل دارای شش کاراکتر باشد. در غیر این صورت، گذرواژه به شرح زیر بازیابی می‌شود:

• env: بازیابی گذرواژه از متغیر محیطی با نام argument.
• file: بازیابی گذرواژه از فایل با نام argument.

نکته: تمام گزینه‌های دیگری که نیازمند گذرواژه هستند، مانند -keypass، -srckeypass، -destkeypass، -srcstorepass و -deststorepass نیز اصلاح‌کننده‌های env و file را می‌پذیرند. به یاد داشته باشید که گزینه گذرواژه و اصلاح‌کننده را با یک دو‌نقطه (:) جدا کنید. گذرواژه باید برای تمام دستوراتی که به محتوای انبار کلید دسترسی دارند ارائه شود. برای چنین دستوراتی، هنگامی که گزینه -storepass در خط فرمان ارائه نشود، از کاربر درخواست خواهد شد. هنگام بازیابی اطلاعات از انبار کلید، ارائه گذرواژه اختیاری است. اگر گذرواژه‌ای مشخص نشود، یکپارچگی اطلاعات بازیابی‌شده قابل اعتبارسنجی نیست و هشداری نمایش داده می‌شود.

keytool -keystore ~/ks -v -list

keytool -keystore ~/ks -keyalg rsa -genkeypair -alias me

keytool -keystore ~/ks -keyalg rsa -genkeypair -alias you -keyalg ec

keytool -keystore ~/ks -genkeypair -alias you -keyalg ec

شکل کامل آن ca:{true|false}[,pathlen:len] یا len است که شکل کوتاه‌شده ca:true,pathlen:len می‌باشد. هنگامی که len حذف شود، مقدار حاصل برابر با ca:true خواهد بود.

usage(, usage)*

مقدار usage می‌تواند یکی از موارد زیر باشد:

• digitalSignature
• nonRepudiation (contentCommitment)
• keyEncipherment
• dataEncipherment
• keyAgreement
• keyCertSign
• cRLSign
• encipherOnly
• decipherOnly

به شرط عدم وجود ابهام، آرگومان usage می‌تواند با چند حرف اول مخفف شود (مانند dig برای digitalSignature) یا با سبک شتری (مانند dS برای digitalSignature یا cRLS برای cRLSign). مقادیر usage به بزرگی و کوچکی حروف حساس هستند.

usage(, usage)*

مقدار usage می‌تواند یکی از موارد زیر باشد:

• anyExtendedKeyUsage
• serverAuth
• clientAuth
• codeSigning
• emailProtection
• timeStamping
• OCSPSigning
• هر رشته شناسه شیء (OID)

به شرط عدم وجود ابهام، آرگومان usage می‌تواند با چند حرف اول یا سبک شتری مخفف شود. مقادیر usage به بزرگی و کوچکی حروف حساس هستند.

type:value(, type:value)*

مقدار type می‌تواند یکی از موارد زیر باشد:

• EMAIL
• URI
• DNS
• IP
• OID

آرگومان value مقدار با قالب رشته‌ای برای آن type است.

همانند SAN یا SubjectAlternativeName.

method:location-type:location-value(, method:location-type:location-value)*

مقدار method می‌تواند یکی از موارد زیر باشد:

• timeStamping
• caRepository
• هر OID

آرگومان‌های location-type و location-value می‌توانند هر type:value پشتیبانی‌شده توسط پسوند SubjectAlternativeName باشند.

همانند SIA یا SubjectInfoAccess.

آرگومان method می‌تواند یکی از موارد زیر باشد:

• ocsp
• caIssuers
• هر OID

keytool -genkeypair -dname "cn=myname, ou=mygroup, o=mycompany, c=mycountry" -alias business -keyalg rsa -keypass password -keystore /working/mykeystore -storepass password -validity 180

keytool -genkeypair -keyalg rsa

این دستور یک CSR برای هویتی که با نام مستعار پیش‌فرض mykey مشخص شده ایجاد می‌کند و درخواست را در فایلی به نام myname.csr قرار می‌دهد.

• اگر پاسخ گواهی یک زنجیره گواهی باشد، به بالاترین گواهی زنجیره نیاز دارید؛ یعنی گواهی ریشه CA که کلید عمومی مرجع CA را احراز هویت می‌کند.
• اگر پاسخ گواهی یک گواهی منفرد باشد، به گواهی مرجع صادرکننده CA (همان که آن را امضا کرده) نیاز دارید. اگر آن گواهی خودامضاشده نباشد، به گواهی امضاکننده آن نیاز خواهید داشت و به همین ترتیب تا یک گواهی ریشه CA خودامضاشده.

انبار کلید cacerts با مجموعه‌ای از گواهی‌های ریشه صادرشده توسط مراجع CA تحت برنامه گواهی ریشه اوراکل جاوا [https://www.oracle.com/java/technologies/javase/carootcertsprogram.html] ارائه می‌شود. اگر درخواست گواهی امضاشده‌ای به یک CA داده‌اید و گواهی تأییدکننده کلید عمومی آن CA به cacerts اضافه نشده باشد، باید گواهی آن CA را به عنوان گواهی مورد اعتماد وارد کنید.

گواهی یک CA معمولاً خودامضاشده است یا توسط یک CA دیگر امضا شده است. اگر توسط CA دیگری امضا شده باشد، به گواهی تأییدکننده کلید عمومی آن CA نیاز دارید.

برای مثال، فرض کنید فایلی به نام X.cer از یک شرکت مرجع CA دریافت کرده‌اید و قرار است این فایل یک گواهی خودامضاشده باشد که کلید عمومی آن CA را احراز هویت می‌کند. پیش از وارد کردن آن به عنوان گواهی مورد اعتماد، باید از معتبر بودن آن از طریق زیر اطمینان حاصل کنید:

1.

مشاهده آن با دستور keytool -printcert یا دستور keytool -importcert بدون استفاده از گزینه -noprompt. اطمینان حاصل کنید که اثرانگشت‌های نمایش‌داده‌شده گواهی با اثرانگشت‌های مورد انتظار مطابقت دارند.

2.

تماس با فرد یا سازمانی که گواهی را ارسال کرده و مقایسه اثرانگشت‌های مشاهده‌شده با مواردی که آن‌ها ارائه می‌دهند یا در یک مخزن عمومی امن منتشر شده است.

تنها در صورت یکسان بودن اثرانگشت‌ها، این اطمینان حاصل می‌شود که گواهی در طول مسیر با گواهی فرد دیگری (مانند گواهی یک مهاجم) جایگزین نشده است. اگر چنین حمله‌ای رخ دهد و گواهی را پیش از وارد کردن بررسی نکرده باشید، به هر چیزی که مهاجم امضا کند اعتماد خواهید کرد.

اگر به معتبر بودن گواهی اعتماد دارید، می‌توانید با اجرای دستور زیر آن را به انبار کلید خود اضافه کنید:

این دستور یک مدخل گواهی مورد اعتماد در انبار کلید بر اساس داده‌های فایل گواهی CA ایجاد می‌کند و مقادیر alias را به آن مدخل اختصاص می‌دهد.

keytool -importcert -trustcacerts -file DCmyname.cer

نکته:

در این مثال، مدخل دارای نام مستعار mykey است:

keytool -importkeystore -srckeystore key.jks -destkeystore NONE -srcstoretype JKS -deststoretype PKCS11 -srcstorepass password -deststorepass password

keytool -importkeystore -srckeystore key.jks -destkeystore NONE -srcstoretype JKS -deststoretype PKCS11 -srcstorepass password -deststorepass password -srcalias myprivatekey -destalias myoldprivatekey -srckeypass password -destkeypass password -noprompt

مدخل‌های کلید (Key entries): هر مدخل حاوی اطلاعات بسیار حساس کلیدهای رمزنگاری است که در یک قالب محافظت‌شده برای جلوگیری از دسترسی‌های غیرمجاز ذخیره می‌شود. معمولاً کلیدی که در این نوع مدخل ذخیره می‌شود یک کلید مخفی است، یا یک کلید خصوصی به همراه زنجیره گواهی برای کلید عمومی متناظر. بخش زنجیره‌های گواهی را ببینید. دستور keytool می‌تواند هر دو نوع مدخل را مدیریت کند، در حالی که ابزار jarsigner تنها نوع دوم یعنی کلیدهای خصوصی و زنجیره گواهی مرتبط با آن‌ها را مدیریت می‌کند.

مدخل‌های گواهی مورد اعتماد (Trusted certificate entries): هر مدخل شامل یک گواهی کلید عمومی منفرد متعلق به یک طرف دیگر است. این مدخل گواهی مورد اعتماد نامیده می‌شود زیرا مالک انبار کلید اطمینان دارد که کلید عمومی موجود در گواهی متعلق به همان هویتی است که با موضوع (مالک) گواهی مشخص شده است. صادرکننده گواهی با امضای دیجیتال گواهی این موضوع را تضمین می‌کند.

یک نام مستعار زمانی مشخص می‌شود که شما هویتی را با دستور -genseckey برای تولید کلید مخفی، دستور -genkeypair برای تولید جفت‌کلید (کلید عمومی و خصوصی) یا دستور -importcert برای افزودن گواهی یا زنجیره گواهی به فهرست گواهی‌های مورد اعتماد به انبار کلید اضافه می‌کنید. دستورات بعدی keytool باید از همین نام مستعار برای ارجاع به آن هویت استفاده کنند. برای مثال، می‌توانید از نام مستعار duke برای تولید یک جفت‌کلید عمومی/خصوصی جدید و قرار دادن کلید عمومی در یک گواهی خودامضاشده با دستور زیر استفاده کنید. بخش زنجیره‌های گواهی را ببینید.

این مثال یک گذرواژه اولیه passwd را تعیین می‌کند که دستورات بعدی برای دسترسی به کلید خصوصی مرتبط با نام مستعار duke به آن نیاز خواهند داشت. اگر بعداً بخواهید گذرواژه کلید خصوصی Duke را تغییر دهید، از دستوری مانند زیر استفاده کنید:

این دستور گذرواژه اولیه passwd را به newpasswd تغییر می‌دهد. گذرواژه نباید در خط فرمان یا اسکریپت‌ها مشخص شود مگر اینکه برای اهداف آزمایشی باشد یا روی یک سیستم امن قرار داشته باشید. اگر یک گزینه گذرواژه الزامی را در خط فرمان مشخص نکنید، از شما درخواست خواهد شد.

در حال حاضر دو ابزار خط فرمان (keytool و jarsigner) از پیاده‌سازی‌های انبار کلید استفاده می‌کنند. از آنجا که کلاس KeyStore عمومی (public) است، کاربران می‌توانند برنامه‌های امنیتی دیگری بنویسند که از آن استفاده کنند. در JDK 9 و نسخه‌های پس از آن، پیاده‌سازی پیش‌فرض انبار کلید PKCS12 است. این یک انبار کلید چندسکویی مبتنی بر استاندارد نحوی تبادل اطلاعات شخصی RSA PKCS12 است. این استاندارد اصولاً برای ذخیره‌سازی یا انتقال کلیدهای خصوصی، گواهی‌ها و اسرار گوناگون کاربر در نظر گرفته شده است. یک پیاده‌سازی توکار دیگر نیز وجود دارد که توسط اوراکل ارائه شده است. این پیاده‌سازی انبار کلید را به صورت یک فایل با نوع (قالب) اختصاصی به نام JKS پیاده‌سازی می‌کند. این فرمت از هر کلید خصوصی با گذرواژه اختصاصی آن محافظت کرده و همچنین یکپارچگی کل انبار کلید را با یک گذرواژه (احتمالاً متفاوت) محافظت می‌کند. پیاده‌سازی‌های انبار کلید مبتنی بر ارائه‌دهنده (Provider) هستند. به طور دقیق‌تر، رابط‌های برنامه‌نویسی ارائه‌شده توسط KeyStore بر اساس رابط ارائه‌دهنده خدمات (SPI) پیاده‌سازی شده‌اند. یعنی یک کلاس انتزاعی متناظر KeystoreSpi در بسته java.security وجود دارد که متدهای SPI را که ارائه‌دهندگان باید پیاده‌سازی کنند تعریف می‌کند. اصطلاح ارائه‌دهنده (Provider) به یک بسته یا مجموعه‌ای از بسته‌ها اشاره دارد که پیاده‌سازی عینی زیرمجموعه‌ای از سرویس‌های قابل دسترس توسط رابط برنامه‌نویسی امنیت جاوا را فراهم می‌کنند. برای ارائه یک پیاده‌سازی انبار کلید، کلاینت‌ها باید یک ارائه‌دهنده پیاده‌سازی کرده و زیرکلاسی از KeystoreSpi ارائه دهند. برنامه‌ها می‌توانند انواع مختلفی از پیاده‌سازی‌های انبار کلید را از ارائه‌دهندگان مختلف با استفاده از متد سازنده getInstance موجود در کلاس KeyStore انتخاب کنند. یک نوع انبار کلید، قالب ذخیره‌سازی و داده‌ای اطلاعات انبار کلید و الگوریتم‌های مورد استفاده برای محافظت از کلیدهای خصوصی/مخفی و یکپارچگی انبار کلید را تعیین می‌کند. پیاده‌سازی‌های انبارهای کلید از انواع مختلف با یکدیگر سازگار نیستند. دستور keytool روی هر پیاده‌سازی انبار کلید مبتنی بر فایل کار می‌کند. این دستور مسیر انبار کلید را که در خط فرمان به آن ارسال شده به عنوان نام فایل در نظر گرفته و آن را به یک FileInputStream تبدیل می‌کند تا اطلاعات انبار کلید را بارگیری کند. دستورات jarsigner می‌توانند یک انبار کلید را از هر مکانی که با نشانی URL مشخص شود بخوانند. برای keytool و jarsigner، می‌توانید نوع انبار کلید را در خط فرمان با گزینه -storetype مشخص کنید. اگر نوع انبار کلید را صراحتاً تعیین نکنید، این ابزارها پیاده‌سازی انبار کلید را بر اساس مقدار مشخصه keystore.type تعریف‌شده در فایل مشخصه‌های امنیتی انتخاب می‌کنند. فایل مشخصه‌های امنیتی java.security نام دارد و در دایرکتوری مشخصه‌های امنیتی قرار دارد:

• لینوکس و مک‌اواس: java.home/lib/security
• ویندوز: java.home\lib\security

هر ابزار مقدار keystore.type را دریافت کرده و سپس تمام ارائه‌دهندگان نصب‌شده را بررسی می‌کند تا ارائه‌دهنده‌ای را بیابد که انبار کلیدی از آن نوع را پیاده‌سازی کرده باشد، سپس از پیاده‌سازی آن ارائه‌دهنده استفاده می‌کند. کلاس KeyStore یک متد ایستا به نام getDefaultType تعریف می‌کند که به برنامه‌ها اجازه می‌دهد مقدار مشخصه keystore.type را بازیابی کنند. خط کد زیر یک نمونه از نوع انبار کلید پیش‌فرض را همان‌طور که در مشخصه keystore.type تعیین شده ایجاد می‌کند:

نوع انبار کلید پیش‌فرض pkcs12 است که یک انبار کلید چندسکویی بر اساس استاندارد نحوی تبادل اطلاعات شخصی RSA PKCS12 است. این مورد با خط زیر در فایل مشخصه‌های امنیتی مشخص شده است:

برای استفاده از یک پیاده‌سازی انبار کلید دیگر به غیر از پیش‌فرض، می‌توانید آن خط را برای مشخص کردن نوع انبار کلید متفاوت ویرایش کنید. برای مثال، اگر می‌خواهید از پیاده‌سازی انبار کلید jks اوراکل استفاده کنید، خط را به صورت زیر تغییر دهید:

نکته: بزرگی و کوچکی حروف در نام‌گذاری نوع انبار کلید اهمیتی ندارد؛ برای مثال JKS همانند jks در نظر گرفته می‌شود.

• کلیدهای عمومی (Public Keys): اعدادی هستند که با یک هویت خاص مرتبط بوده و برای آگاهی تمام کسانی که نیاز به تعاملات مطمئن با آن هویت دارند در نظر گرفته شده‌اند. کلیدهای عمومی برای بررسی و اعتبارسنجی امضاها استفاده می‌شوند.
• امضاشده دیجیتالی (Digitally Signed): اگر داده‌هایی به صورت دیجیتالی امضا شوند، همراه با هویت صادرکننده و امضایی ذخیره می‌شوند که اثبات می‌کند آن هویت از داده‌ها آگاهی دارد. داده‌ها با امضا شدن توسط کلید خصوصی هویت، غیرقابل جعل می‌شوند.
• هویت (Identity): روشی شناخته‌شده برای نشانی‌دهی یک هویت. در برخی سیستم‌ها هویت همان کلید عمومی است و در برخی دیگر می‌تواند از UID سیستم‌عامل تا آدرس ایمیل یا نام متمایز X.509 متغیر باشد.
• امضا (Signature): یک امضا روی داده‌ها با استفاده از کلید خصوصی یک هویت محاسبه می‌شود. امضاکننده در مورد گواهی‌ها با عنوان صادرکننده (Issuer) نیز شناخته می‌شود.
• کلیدهای خصوصی (Private Keys): اعدادی هستند که باید تنها برای همان هویتی که کلید خصوصی به آن تعلق دارد شناخته‌شده باشند (یعنی محرمانه نگهداری شوند). کلیدهای خصوصی و عمومی در تمام سیستم‌های رمزنگاری کلید عمومی به صورت جفت وجود دارند. در یک سیستم معمولی رمزنگاری کلید عمومی مانند DSA، هر کلید خصوصی دقیقاً با یک کلید عمومی متناظر است. کلیدهای خصوصی برای محاسبه امضاها استفاده می‌شوند.
• موجودیت / هویت (Entity): یک هویت می‌تواند شخص، سازمان، برنامه، رایانه، کسب‌وکار، بانک یا هر چیزی باشد که تا حدی به آن اعتماد دارید. رمزنگاری کلید عمومی نیازمند دسترسی به کلیدهای عمومی کاربران است. در یک محیط شبکه‌ای در مقیاس بزرگ، تضمین برقراری روابط پیشین میان طرف‌های ارتباطی یا وجود یک مخزن مورد اعتماد حاوی تمام کلیدهای عمومی ناممکن است. گواهی‌ها به عنوان راهکاری برای این مشکل توزیع کلید عمومی ابداع شدند. اکنون یک مرجع صدور گواهی (CA) می‌تواند به عنوان شخص ثالث مورد اعتماد عمل کند. مراجع CA سازمان‌ها یا کسب‌وکارهایی هستند که برای امضا و صدور گواهی‌ها برای سایر هویت‌ها مورد اعتماد قرار می‌گیرند. فرض بر این است که مراجع CA تنها گواهی‌های معتبر و قابل اعتماد ایجاد می‌کنند زیرا ملزم به توافق‌نامه‌های قانونی هستند. مراجع صدور گواهی عمومی متعددی مانند DigiCert، Comodo، Entrust و غیره وجود دارند. همچنین می‌توانید مرجع صدور گواهی اختصاصی خود را با استفاده از محصولاتی مانند Microsoft Certificate Server یا محصول Entrust CA برای سازمان خود راه‌اندازی کنید. با دستور keytool امکان نمایش، وارد کردن و صدور گواهی‌ها وجود دارد. همچنین امکان تولید گواهی‌های خودامضاشده نیز فراهم است. دستور keytool در حال حاضر گواهی‌های X.509 را مدیریت می‌کند.

تمام گواهی‌های X.509 علاوه بر امضا، دارای داده‌های زیر هستند:

•

نسخه (Version): مشخص می‌کند کدام نسخه از استاندارد X.509 بر این گواهی حاکم است که بر اطلاعات قابل تعیین در آن تأثیر می‌گذارد. تاکنون سه نسخه تعریف شده است. دستور keytool می‌تواند گواهی‌های نسخه ۱، ۲ و ۳ را وارد و صادر کند و گواهی‌های نسخه ۳ را تولید می‌کند.

• شماره سریال (Serial number): هویتی که گواهی را ایجاد کرده موظف است شماره سریالی به آن اختصاص دهد تا آن را از سایر گواهی‌های صادرشده متمایز کند. این اطلاعات در موارد متعددی استفاده می‌شود؛ برای مثال، هنگامی که گواهی باطل می‌شود، شماره سریال آن در فهرست ابطال گواهی (CRL) قرار می‌گیرد.
• شناسه الگوریتم امضا (Signature algorithm identifier): الگوریتم مورد استفاده توسط مرجع CA برای امضای گواهی را مشخص می‌کند.
• نام صادرکننده (Issuer name): نام متمایز X.500 هویتی که گواهی را امضا کرده است. این هویت معمولاً یک مرجع CA است. استفاده از این گواهی به معنای اعتماد به هویتی است که آن را امضا کرده است. در برخی موارد مانند گواهی‌های ریشه یا مراجع CA سطح بالا، صادرکننده گواهی خود را امضا می‌کند.
• دوره اعتبار (Validity period): هر گواهی تنها برای مدت زمان محدودی معتبر است. این دوره با تاریخ و زمان شروع و پایان مشخص می‌شود و می‌تواند از چند ثانیه تا نزدیک به یک قرن متغیر باشد. دوره اعتبار انتخاب‌شده به عوامل مختلفی مانند استحکام کلید خصوصی استفاده‌شده برای امضا یا هزینه‌ای که فرد برای گواهی می‌پردازد بستگی دارد. این دوره، بازه زمانی مورد انتظاری است که هویت‌ها می‌توانند به مقدار عمومی اطمینان کنند مشروط بر اینکه کلید خصوصی به خطر نیفتاده باشد.
• نام موضوع (Subject name): نام هویتی که کلید عمومی گواهی متعلق به آن است. این نام از استاندارد X.500 استفاده می‌کند، بنابراین طوری طراحی شده که در سراسر اینترنت یکتا باشد. این نام همان نام متمایز (DN) هویت است؛ برای مثال:

•

اطلاعات کلید عمومی موضوع (Subject public key information): کلید عمومی هویت نام‌برده به همراه یک شناسه الگوریتم که مشخص می‌کند این کلید متعلق به کدام سیستم رمزنگاری کلید عمومی است و پارامترهای کلید مرتبط.

هنگامی که کلیدها برای اولین بار تولید می‌شوند، زنجیره معمولاً با یک عضو منفرد یعنی یک گواهی خودامضاشده شروع می‌شود. بخش تولید جفت‌کلید را در دستورات ببینید. یک گواهی خودامضاشده گواهی‌ای است که صادرکننده (امضاکننده) آن همان موضوع گواهی است. موضوع هویتی است که کلید عمومی آن توسط گواهی احراز هویت می‌شود. هنگامی که دستور -genkeypair برای تولید یک جفت‌کلید عمومی/خصوصی جدید فراخوانی می‌شود، کلید عمومی را در یک گواهی خودامضاشده نیز قرار می‌دهد (مگر اینکه گزینه -signer مشخص شده باشد). سپس، پس از ایجاد یک درخواست امضای گواهی (CSR) با دستور -certreq و ارسال آن به یک مرجع صدور گواهی (CA)، پاسخ دریافتی از CA با دستور -importcert وارد شده و گواهی خودامضاشده با زنجیره‌ای از گواهی‌ها جایگزین می‌شود. در انتهای زنجیره، گواهی (پاسخ) صادرشده توسط CA قرار دارد که کلید عمومی موضوع را احراز هویت می‌کند. گواهی بعدی در زنجیره، کلید عمومی مرجع CA را احراز هویت می‌کند. در بسیاری از موارد، این گواهی یک گواهی خودامضاشده است که کلید عمومی خود CA را احراز هویت می‌کند و آخرین گواهی در زنجیره خواهد بود. در موارد دیگر، CA ممکن است زنجیره‌ای از گواهی‌ها را بازگرداند. در این حالت، گواهی پایین زنجیره همان است (گواهی امضاشده توسط CA که کلید عمومی مدخل کلید را احراز هویت می‌کند)، اما گواهی دوم در زنجیره گواهی‌ای است که توسط یک CA متفاوت امضا شده و کلید عمومی CA دریافت‌کننده CSR را احراز هویت می‌کند. گواهی بعدی در زنجیره کلید CA دوم را احراز هویت می‌کند و به همین ترتیب تا زمانی که به یک گواهی ریشه خودامضاشده برسد. هر گواهی در زنجیره (پس از اولی) کلید عمومی امضاکننده گواهی قبلی در زنجیره را احراز هویت می‌کند. بسیاری از مراجع CA تنها گواهی صادرشده را بدون زنجیره پشتیبان بازمی‌گردانند، به ویژه زمانی که سلسله‌مراتب مسطح باشد (بدون CAهای میانی). در این حالت، زنجیره گواهی باید از اطلاعات گواهی‌های مورد اعتماد که از قبل در انبار کلید ذخیره شده‌اند تشکیل شود. یک قالب پاسخ متفاوت (تعریف‌شده توسط استاندارد PKCS #7) شامل زنجیره گواهی پشتیبان علاوه بر گواهی صادرشده است. هر دو قالب پاسخ می‌توانند توسط دستور keytool مدیریت شوند. گواهی مرجع ریشه (بالاترین سطح) CA خودامضاشده است. با این حال، اعتماد به کلید عمومی ریشه از خود گواهی ریشه حاصل نمی‌شود، بلکه از منابع دیگر مانند روزنامه‌ها به دست می‌آید. زیرا هر کسی می‌تواند یک گواهی خودامضاشده با نام متمایز مرجع ریشه مثلاً DigiCert ایجاد کند. کلید عمومی مرجع ریشه CA به طور گسترده‌ای شناخته شده است. تنها دلیل ذخیره آن در یک گواهی این است که این قالب برای اکثر ابزارها قابل فهم است، بنابراین گواهی در این حالت صرفاً به عنوان وسیله‌ای برای انتقال کلید عمومی ریشه CA استفاده می‌شود. پیش از افزودن گواهی ریشه CA به انبار کلید خود، باید آن را با گزینه -printcert مشاهده کرده و اثرانگشت نمایش‌داده‌شده را با اثرانگشت معتبر به دست آمده از وب‌سایت مرجع ریشه CA و منابع معتبر مقایسه کنید.

• لینوکس و مک‌اواس: JAVA_HOME/lib/security
• ویندوز: JAVA_HOME\lib\security

فایل cacerts نشان‌دهنده یک انبار کلید در سطح سیستم حاوی گواهی‌های CA است. مدیران سیستم می‌توانند این فایل را با دستور keytool و با تعیین jks به عنوان نوع انبار کلید پیکربندی و مدیریت کنند. فایل انبار کلید cacerts همراه با مجموعه‌ای از گواهی‌های ریشه CA پیش‌فرض عرضه می‌شود. در لینوکس، مک‌اواس و ویندوز می‌توانید گواهی‌های پیش‌فرض را با دستور زیر فهرست کنید:

گذرواژه اولیه فایل انبار کلید cacerts برابر با changeit است. مدیران سیستم باید این گذرواژه و مجوز دسترسی پیش‌فرض فایل را پس از نصب SDK تغییر دهند.

نکته: اعتبارسنجی فایل cacerts اهمیت زیادی دارد. از آنجا که به مراجع CA موجود در فایل cacerts به عنوان هویت‌هایی برای امضا و صدور گواهی‌ها به سایر هویت‌ها اعتماد می‌کنید، باید فایل cacerts را با دقت مدیریت کنید. فایل cacerts باید تنها شامل گواهی‌های مراجع CA باشد که به آن‌ها اعتماد دارید. بررسی گواهی‌های ریشه CA موجود در فایل cacerts و تصمیم‌گیری درباره میزان اعتماد بر عهده شماست. برای حذف یک گواهی CA نامعتبر از فایل cacerts، از گزینه -delete در دستور keytool استفاده کنید. می‌توانید فایل cacerts را در دایرکتوری $JAVA_HOME/lib/security کیت توسعه جاوا پیدا کنید. اگر مجوز ویرایش این فایل را ندارید با مدیر سیستم خود تماس بگیرید.

گواهی‌های خوانده‌شده توسط دستورات -importcert و -printcert می‌توانند در این قالب یا کدگذاری دودویی باشند. دستور -exportcert به طور پیش‌فرض گواهی را با کدگذاری دودویی صادر می‌کند، اما هنگامی که گزینه -rfc مشخص شود، گواهی را در قالب کدگذاری قابل‌چاپ صادر خواهد کرد. دستور -list به طور پیش‌فرض اثرانگشت SHA-256 گواهی را چاپ می‌کند. اگر گزینه -v مشخص شود، گواهی در قالب خوانا برای انسان چاپ می‌شود. اگر گزینه -rfc مشخص شود، گواهی در قالب کدگذاری قابل‌چاپ چاپ خواهد شد. در قالب کدگذاری قابل‌چاپ، گواهی کدگذاری‌شده در ابتدا و انتها با متن زیر محصور می‌شود:

-----BEGIN CERTIFICATE-----
encoded certificate goes here.
-----END CERTIFICATE-----

• commonName: نام عمومی شخص مانند Susan Jones.
• organizationUnit: نام واحد سازمانی کوچک (مانند دپارتمان یا بخش)؛ برای مثال Purchasing.
• localityName: نام محل یا شهر؛ برای مثال Palo Alto.
• stateName: نام ایالت یا استان؛ برای مثال California.
• country: کد کشور دوحرفی؛ برای مثال CH.

هنگامی که یک رشته نام متمایز را به عنوان مقدار گزینه -dname ارائه می‌دهید (مانند دستور -genkeypair)، رشته باید در قالب زیر باشد:

تمام موارد زیر نشان‌دهنده مقادیر واقعی هستند و کلیدواژه‌های قبلی اختصاراتی برای موارد زیر هستند:

CN=commonName
OU=organizationUnit
O=organizationName
L=localityName
S=stateName
C=country

یک نمونه رشته نام متمایز عبارت است از:

دستور نمونه با استفاده از چنین رشته‌ای:

بزرگی و کوچکی حروف در اختصارات کلیدواژه‌ها تفاوتی ایجاد نمی‌کند؛ برای مثال CN، cn و Cn همگی یکسان در نظر گرفته می‌شوند. ترتیب قرارگیری اهمیت دارد؛ هر زیرمؤلفه باید به ترتیب تعیین‌شده درج شود. با این حال، درج تمام زیرمؤلفه‌ها الزامی نیست و می‌توانید از یک زیرمجموعه استفاده کنید:

اگر مقدار رشته نام متمایز حاوی کاما باشد، هنگام تعیین رشته در خط فرمان کاما باید با یک نویسه بک‌اسلش (\) اسکیپ شود:

مشخص کردن رشته نام متمایز در خط فرمان هرگز اجباری نیست. هنگامی که نام متمایز برای دستوری مورد نیاز باشد اما در خط فرمان ارائه نشود، از کاربر برای تک‌تک زیرمؤلفه‌ها سوال خواهد شد. در این حالت، نیازی به اسکیپ کردن کاما با بک‌اسلش نیست.