Программно получить KeyStore от PEM

Как можно программно получить KeyStore из файла PEM, содержащего как сертификат, так и закрытый ключ? Я пытаюсь предоставить сертификат клиента серверу в HTTPS-соединении. Я подтвердил, что клиентский сертификат работает, если я использую openssl и keytool для получения файла jks, который я загружаю динамически. Я даже могу заставить его работать путем динамического чтения в файле p12 (PKCS12).

Я изучаю использование класса PEMReader у BouncyCastle, но я не могу пройти мимо некоторых ошибок. Я запускаю клиент Java с параметром -Djavax.net.debug = all и веб-сервером Apache с отладочным LogLevel. Я не уверен, что искать. Журнал ошибок Apache указывает:

...
OpenSSL: Write: SSLv3 read client certificate B
OpenSSL: Exit: error in SSLv3 read client certificate B
Re-negotiation handshake failed: Not accepted by client!?

Клиентская программа Java указывает:

...
main, WRITE: TLSv1 Handshake, length = 48
main, waiting for close_notify or alert: state 3
main, Exception while waiting for close java.net.SocketException: Software caused connection abort: recv failed
main, handling exception: java.net.SocketException: Software caused connection abort: recv failed
%% Invalidated:  [Session-3, TLS_RSA_WITH_AES_128_CBC_SHA]
main, SEND TLSv1 ALERT:  fatal, description = unexpected_message
...

Код клиента:

public void testClientCertPEM() throws Exception {
    String requestURL = "https://mydomain/authtest";
    String pemPath = "C:/Users/myusername/Desktop/client.pem";

    HttpsURLConnection con;

    URL url = new URL(requestURL);
    con = (HttpsURLConnection) url.openConnection();
    con.setSSLSocketFactory(getSocketFactoryFromPEM(pemPath));
    con.setRequestMethod("GET");
    con.setDoInput(true);
    con.setDoOutput(false);  
    con.connect();

    String line;

    BufferedReader reader = new BufferedReader(new InputStreamReader(con.getInputStream()));

    while((line = reader.readLine()) != null) {
        System.out.println(line);
    }       

    reader.close();
    con.disconnect();
}

public SSLSocketFactory getSocketFactoryFromPEM(String pemPath) throws Exception {
    Security.addProvider(new BouncyCastleProvider());        
    SSLContext context = SSLContext.getInstance("TLS");

    PEMReader reader = new PEMReader(new FileReader(pemPath));
    X509Certificate cert = (X509Certificate) reader.readObject();        

    KeyStore keystore = KeyStore.getInstance("JKS");
    keystore.load(null);
    keystore.setCertificateEntry("alias", cert);

    KeyManagerFactory kmf = KeyManagerFactory.getInstance("SunX509");
    kmf.init(keystore, null);

    KeyManager[] km = kmf.getKeyManagers(); 

    context.init(km, null, null);

    return context.getSocketFactory();
} 

Я заметил, что сервер выводит SSLv3 в журнале, а клиент - TLSv1. Если я добавлю системное свойство -Dhttps.protocols = SSLv3, тогда клиент будет использовать SSLv3, но я получаю такое же сообщение об ошибке. Я также попытался добавить -Dsun.security.ssl.allowUnsafeRenegotiation = true без изменения результата.

Я googled вокруг, и обычный ответ на этот вопрос заключается в том, чтобы сначала использовать openssl и keytool. В моем случае мне нужно прочитать PEM прямо на лету. Я фактически портирую программу на С++, которая уже делает это, и, честно говоря, я очень удивлен, как трудно это сделать на Java. Код С++:

  curlpp::Easy request;
  ...
  request.setOpt(new Options::Url(myurl));
  request.setOpt(new Options::SslVerifyPeer(false));
  request.setOpt(new Options::SslCertType("PEM"));
  request.setOpt(new Options::SslCert(cert));
  request.perform();