SSL中常用证书格式及其应用

SSL中常用证书格式及其应用  |

一、各种格式证书介绍：

PKCS 全称是 Public-Key Cryptography Standards ，是由 RSA 实验室与其它安全系统开发商为促进公钥密码的发展而制订的一系列标准，PKCS 目前共发布过 15 个标准。 常用的有：

 PKCS#12 Personal Information Exchange: .pfx, .p12 
PKCS#10 Certification Request: .p10 
PKCS#7 cert request response: .p7r 
PKCS#7 binary message: .p7b 

 PKCS#7 常用的后缀是： .P7B .P7C .SPC

PKCS#12 常用的后缀有： .P12 .PFX  

X.509是常见通用的证书格式。所有的证书都符合为Public Key Infrastructure (PKI) 制定的 ITU-T X509 国际标准。

 X.509 DER 编码(ASCII)的后缀是： .DER .CER .CRT
X.509 PAM 编码(Base64)的后缀是： .PEM 

 cer/.crt是用于存放证书，它是2进制形式存放的，不含私钥。 
.pem跟crt/cer的区别是它以Ascii来表示。 
pfx/p12用于存放个人证书/私钥，他通常包含保护密码，2进制方式 
p10是证书请求 
p7r是CA对证书请求的回复，只用于导入 
p7b以树状展示证书链(certificate chain)，同时也支持单个证书，不含私钥。 

 注意：其中若要使用浏览器进行双向认证的话，必须在浏览器安装p12格式的证书 ，因为p12格式的数字证书包含私钥，只有包含私钥 才能使双方的加密通信正常进行。

 二、各种格式证书转换与导入 
1、Der/Cer证书导入： 
要从某个文件中导入某个证书，使用keytool工具的-import命令： 
keytool -import -file mycert.der -keystore mykeystore.jks 
如果在 -keystore 选项中指定了一个并不存在的密钥仓库，则该密钥仓库将被创建。 
如果不指定 -keystore 选项，则缺省密钥仓库将是宿主目录中名为 .keystore 的文件。如果该文件并不存在，则它将被创建。 
创建密钥仓库时会要求输入访问口令，以后需要使用此口令来访问。可使用-list命令来查看密钥仓库里的内容： 
keytool -list -rfc -keystore mykeystore.jks 

2、P12格式证书导入： 
keytool无法直接导入PKCS12文件。 
第一种方法是使用IE将pfx证书导入，再导出为cert格式文件。使用上面介绍的方法将其导入到密钥仓库中。这样的话仓库里面只包含了证书信息，没有私钥内容。 
第二种方法是将pfx文件导入到IE浏览器中，再导出为pfx文件。 
       新生成的pfx不能被导入到keystore中，报错：keytool错误： java.lang.Exception: 所输入的不是一个 X.509 认证。新生成的pfx文件可以被当作keystore使用。但会报个错误as unknown attr1.3.6.1.4.1.311.17.1,查了下资料,说IE导出的就会这样,使用Netscape就不会有这个错误. 
第三种方法是将pfx文件当作一个keystore使用。但是通过微软的证书管理控制台生成的pfx文件不能直接使用。keytool不认此格式，报keytool错误： java.io.IOException: failed to decrypt safe contents entry。需要通过OpenSSL转换一下： 
1）openssl pkcs12 -in mycerts.pfx -out mycerts.pem 
2）openssl pkcs12 -export -in mycerts.pem -out mykeystore.p12 
通过keytool的-list命令可检查下密钥仓库中的内容： 
keytool -rfc -list -keystore mykeystore.p12 -storetype pkcs12 
这里需要指明仓库类型为pkcs12，因为缺省的类型为jks。这样此密钥仓库就即包含证书信息也包含私钥信息。 

3、P7B格式证书导入： 
keytool无法直接导入p7b文件。 
需要将证书链RootServer.p7b（包含根证书）导出为根rootca.cer和子rootcaserver.cer 。 
将这两个证书导入到可信任的密钥仓库中。 
keytool -import -alias rootca -trustcacerts -file rootca.cer -keystore testkeytrust.jks 
遇到是否信任该证书提示时，输入y 
keytool -import -alias rootcaserver -trustcacerts -file rootcaserver.cer -keystore testkeytrust.jks 
总结: 
1)P12格式的证书是不能使用keytool工具导入到keystore中的 
2)The Sun's PKCS12 Keystore对从IE和其他的windows程序生成的pfx格式的证书支持不太好. 
3)P7B证书链不能直接导入到keystore，需要将里面的证书导出成cer格式，再分别导入到keystore。

三、各种证书相互转换
一 用openssl创建CA证书的RSA密钥(PEM格式)：
openssl genrsa -des3 -out ca.key 1024 
二用openssl创建CA证书(PEM格式,假如有效期为一年)：
openssl req -new -x509 -days 365 -key ca.key -out ca.crt -config openssl.cnf
openssl是可以生成DER格式的CA证书的，最好用IE将PEM格式的CA证书转换成DER格式的CA证书。
三 x509到pfx
pkcs12 -export –in keys/client1.crt -inkey keys/client1.key -out keys/client1.pfx
四 PEM格式的ca.key转换为Microsoft可以识别的pvk格式。
pvk -in ca.key -out ca.pvk -nocrypt -topvk
五 PKCS#12 到 PEM 的转换
openssl pkcs12 -nocerts -nodes -in cert.p12 -out private.pem
验证 openssl pkcs12 -clcerts -nokeys -in cert.p12 -out cert.pem
六 从 PFX 格式文件中提取私钥格式文件 (.key)
openssl pkcs12 -in mycert.pfx -nocerts -nodes -out mycert.key
七 转换 pem 到到 spc
openssl crl2pkcs7 -nocrl -certfile venus.pem -outform DER -out venus.spc
用 -outform -inform 指定 DER 还是 PAM 格式。例如：
openssl x509 -in Cert.pem -inform PEM -out cert.der -outform DER
八 PEM 到 PKCS#12 的转换，
openssl pkcs12 -export -in Cert.pem -out Cert.p12 -inkey key.pem

九 PER到CER

openssl x509 -in mycerts.pem -out mycerts.cer