各种证书格式

Posted 2023-04-17

参考技术A https://serverfault.com/questions/9708/what-is-a-pem-file-and-how-does-it-differ-from-other-openssl-generated-key-file

SSL 已经存在了很长时间，您会认为容器格式会达成一致。你是对的，有。太多的标准，因为它发生。 最后，所有这些都是以机器可读的方式对抽象语法符号 1 (ASN.1) 格式化数据进行编码的不同方式——这恰好是定义 x509 证书的格式。

不时出现的其他一些格式：

总之，有四种不同的方式来展示证书及其组成部分：

PEM - 由 RFC 管理，开源软件优先使用，因为它是基于文本的，因此不太容易出现翻译/传输错误。它可以有多种扩展名（.pem、.key、.cer、.cert 等）
PKCS7 - Java 使用并受 Windows 支持的开放标准。不包含私钥材料。
PKCS12 - 后来在 RFC 中定义的 Microsoft 私有标准，与纯文本 PEM 格式相比，它提供了增强的安全性。这可以包含私钥和证书链材料。Windows系统优先使用，可通过openssl自由转换为PEM格式。
DER - PEM 的父格式。将其视为 base64 编码的 PEM 文件的二进制版本很有用。在 Windows 之外不经常使用。
我希望这有帮助。

PEM 本身不是证书，它只是一种编码数据的方式。X.509 证书是一种通常使用 PEM 编码的数据类型。

PEM 是 X.509 证书（其结构使用 ASN.1 定义），使用 ASN.1 DER（可区分编码规则）编码，然后通过 Base64 编码运行并停留在纯文本锚线（BEGIN CERTIFICATE 和 END CERTIFICATE ）。

您可以使用 PKCS#7 或 PKCS#12 表示法来表示相同的数据，并且可以使用 openssl 命令行实用程序来执行此操作。

PEM 的明显好处是可以安全地粘贴到电子邮件正文中，因为它有锚线并且是 7 位干净的。

RFC1422 有更多关于 PEM 标准的详细信息，因为它与密钥和证书相关。

openssl生成https证书转换证书格式的各种相关操作

第一步：生成 private key、csr等文件

我们可能需要输入以下信息(交互式):

---
Country Name (2 letter code) [AU]:US
State or Province Name (full name) [Some-State]:New York
Locality Name (eg, city) []:Brooklyn
Organization Name (eg, company) [Internet Widgits Pty Ltd]:Example Brooklyn Company
Organizational Unit Name (eg, section) []:Technology Division
Common Name (e.g. server FQDN or YOUR name) []:examplebrooklyn.com
Email Address []:

　上面的信息是一行一行输入的，也可以通过使用 -subj 选项，一步完成

-subj "/C=US/ST=New York/L=Brooklyn/O=Example Brooklyn Company/CN=examplebrooklyn.com"

　　

也可以同时生成 private key 和一个 CSR 文件：

openssl req        -newkey rsa:2048 -nodes -keyout domain.key        -out domain.csr

　　-newkey rsa:2048 选项的意思是生成的 key 是通过 RSA 算法生成的 2048 位的。

       -nodes 私钥不需要密码加密

 

根据现有的私钥生成 CSR 文件：

openssl req        -key domain.key        -new -out domain.csr

　　-key 指定了现有的私钥(private key)

 

根据现有的 crt 文件和 私钥生成 CSR

openssl x509        -in domain.crt        -signkey domain.key        -x509toreq -out domain.csr

　　-x509toreq 使用 X509 证书生成 CSR

 

 

第二步：生成 SSL 证书

生成一个私钥和一个自签名证书：

openssl req        -newkey rsa:2048 -nodes -keyout domain.key        -x509 -days 365 -out domain.crt

　　-days 365  365天有效期

 

根据现有的私钥生成自签名证书：

openssl req        -key domain.key        -new        -x509 -days 365 -out domain.crt

　　

 

第三步：查看证书

crt 和 csr 文件是使用 PEM 格式编码的，我们无法直接读取文件获取实际的信息。

 

检查 csr 文件里面的配置信息：

openssl req -text -noout -verify -in domain.csr

　　

检查 crt 文件里面的配置信息：

openssl x509 -text -noout -in domain.crt

　　

 

 

其他：

创建私钥：

openssl genrsa -des3 -out domain.key 2048

　　

检验私钥：

openssl rsa -check -in domain.key

　　

验证私钥是否匹配 crt 和 csr 文件：

openssl rsa -noout -modulus -in domain.key | openssl md5
openssl x509 -noout -modulus -in domain.crt | openssl md5
openssl req -noout -modulus -in domain.csr | openssl md5

　　

加密私钥：

openssl rsa -des3        -in unencrypted.key        -out encrypted.key

　　

解密私钥：

openssl rsa        -in encrypted.key        -out decrypted.key

　　

 

转换证书格式：

 

转换 PEM到 DER：

openssl x509        -in domain.crt        -outform der -out domain.der

　　

转换 DER 到 PEM：

openssl x509        -inform der -in domain.der        -out domain.crt

　　

 

转换 PEM 到 PKCS7：

可以加入一个或多个 crt 文件。

openssl crl2pkcs7 -nocrl        -certfile domain.crt        -certfile ca-chain.crt        -out domain.p7b

　　PKCS7(P7B)，被用在 java keystores 和 IIS 中，是一种可以包含 crt 和 ca 证书信息的 ASCII 文件

 

转换 PKCS7 到 PEM：

openssl pkcs7        -in domain.p7b        -print_certs -out domain.crt

　　

转换 PEM 到 PKCS12：

openssl pkcs12        -inkey domain.key        -in domain.crt        -export -out domain.pfx

　　

转换 PKCS12 到 PEM 中：

openssl pkcs12        -in domain.pfx        -nodes -out domain.combined.crt

　　

 

转换 PEM 到 CER：

openssl x509 -inform PEM -in cacert.pem -outform DER -out certificate.cer