是啥导致 keytool 错误“无法解密安全内容条目”？

Posted 2023-02-25

【中文标题】是啥导致 keytool 错误“无法解密安全内容条目”？

【英文标题】：What causes keytool error "Failed to decrypt safe contents entry"?是什么导致 keytool 错误“无法解密安全内容条目”？

【发布时间】：2012-05-07 11:42:57

【问题描述】：

我正在尝试使用以下命令将标准 PKCS #12 (.p12) 密钥库转换为 Java JKS 密钥库：

keytool -importkeystore -srckeystore keystore.p12 -srcstoretype PKCS12 -deststoretype JKS -destkeystore keystore.jks

它失败了：

keytool error: java.io.IOException: failed to decrypt safe contents entry: javax.crypto.BadPaddingException: Given final block not properly padded

你知道如何解决这个问题吗？

【问题讨论】：

您的 PCKS#12 密钥库似乎已损坏。你能用openssl pkcs12 ...验证吗？

【参考方案1】：

有时此错误是 p12 密钥使用错误密码的症状。

【讨论】：

pkcs12 密钥库类型不区分 keypass 和 storepass。所以在我的情况下，我只需要在检索密钥时使用 storepass（而不是 keypass）......

我使用了错误的密码，因为 WebSphere 使用的默认密码与大多数 Java 信任存储不同。

对我来说就是这样。耶稣，我花了一段时间才让这个工作。

【参考方案2】：

pkcs12 密钥库确实已损坏。

【参考方案3】：

我以前从未尝试过这样做，但我确实在 google here 上找到了说明。

这个thread 提出了类似的问题。

编辑（基于评论）

以下是链接参考的完整内容：

PFX/P12 到 JKS（Java 密钥库）

问题：如何将证书从 IIS/PFX（.p12 文件）移动到 JKS（Java KeyStore）？

答案： keytool -importkeystore -srckeystore PFX_P12_FILE_NAME -srcstoretype pkcs12 -srcstorepass PFX_P12_FILE -srcalias SOURCE_ALIAS -destkeystore KEYSTORE_FILE -deststoretype jks -deststorepass PASSWORD -destalias ALIAS_NAME

注意：要查找 srcalias，请列出 PFX/P12 文件的内容：

keytool -v -list -storetype pkcs12 -keystore PFX_P12_FILE > FILENAME.TXT 因为这会将命令的输出写入名为 FILENAME.TXT 的文件。

【参考方案4】：

我遇到了同样的问题，我手动输入了密码，问题得到了解决

【参考方案5】：

我今天遇到了同样的问题（BadPaddingException）。似乎 keytool 的密码中的某些字符有问题。我通过在密码周围添加双引号解决了这个问题。

keytool -importkeystore -srckeystore PFX_P12_FILE_NAME -srcstoretype pkcs12 -srcstorepass "PFX_P12_FILE" -srcalias SOURCE_ALIAS -destkeystore KEYSTORE_FILE -deststoretype jks -deststorepass "PASSWORD" -destalias ALIAS_NAME

【参考方案6】：

当我尝试从 JKS 将证书导出为 pfx 时遇到了类似的问题。当我在 keytool 命令中排除 deststorepass 属性并在运行时提供目标存储密码时，它起作用了。

keytool -importkeystore -srckeystore Keystore.jks -destkeystore dv163.pfx -srcstoretype JKS -deststoretype PKCS12 -srcalias alias1-destalias alias1

输入目标密钥库密码：

重新输入新密码：

输入源密钥库密码：

【参考方案7】：

我执行此命令（与您的命令相反）将私钥从 JKS 导出到 PKCS12：

keytool -importkeystore -srckeystore DemoIdentity.jks -srcstoretype JKS -destkeystore demoidentity.p12 -deststoretype PKCS12

如果我省略了看似多余的“-srcstoretype JKS”，当我尝试在 keytool 中列出详细信息时，生成的 demoidentity.p12 文件给了我同样的错误，即使上面的命令接受了密码并生成了一个看似正确的文件！

对于您的问题，也许您在生成 keystore.p12 时做了类似的事情。

【讨论】：

我认为您正在做某事。可能 keytool 假设原始密钥是别的东西。

【参考方案8】：

在我这边我忘记在你输入密码时检查语言:)

【参考方案9】：

只需在构建签名的 APK 向导表单上输入正确的密码。 （它在 android studio 4.2 canary 15++ 上与我一起工作）

据我了解，当您在上述向导上更改应用程序时，尽管密码仍然存在，但不知何故无法正确签名，因此您需要清除密码并再次输入。