主流数字证书都有哪些格式？

清疚 2022-11-05 05:28 226阅读 0赞

转自：https://help.aliyun.com/document\_detail/42214.html?spm=5176.14113079.0.0.3b5e56a7iiWdjp\#concept-a4g-mbv-ydb

### 主流Web服务软件 ###

一般来说，主流的Web服务软件，通常都基于OpenSSL和Java两种基础密码库。

*  Tomcat、Weblogic、JBoss等Web服务软件，一般使用Java提供的密码库。通过Java Development Kit （JDK）工具包中的Keytool工具，生成Java Keystore（JKS）格式的证书文件。
 *  Apache、Nginx等Web服务软件，一般使用OpenSSL工具提供的密码库，生成PEM、KEY、CRT等格式的证书文件。
 *  IBM的Web服务产品，如Websphere、IBM Http Server（IHS）等，一般使用IBM产品自带的iKeyman工具，生成KDB格式的证书文件。
 *  微软Windows Server中的Internet Information Services（IIS）服务，使用Windows自带的证书库生成PFX格式的证书文件。

### 如何判断证书文件是文本格式还是二进制格式？ ###

您可以使用以下方法简单区分带有后缀扩展名的证书文件：

*  *.DER或*.CER文件： 这样的证书文件是二进制格式，只含有证书信息，不包含私钥。
 *  \*.CRT文件： 这样的证书文件可以是二进制格式，也可以是文本格式，一般均为文本格式，功能与 *.DER及*.CER证书文件相同。
 *  \*.PEM文件： 这样的证书文件一般是文本格式，可以存放证书或私钥，或者两者都包含。 *.PEM 文件如果只包含私钥，一般用*.KEY文件代替。
 *  *.PFX或*.P12文件： 这样的证书文件是二进制格式，同时包含证书和私钥，且一般有密码保护。

您也可以使用记事本直接打开证书文件。如果显示的是规则的数字字母，例如：

—–BEGIN CERTIFICATE—–
    MIIE5zCCA8+gAwIBAgIQN+whYc2BgzAogau0dc3PtzANBgkqh......
    —–END CERTIFICATE—–

那么，该证书文件是文本格式的。

*  如果存在——BEGIN CERTIFICATE——，则说明这是一个证书文件。
 *  如果存在—–BEGIN RSA PRIVATE KEY—–，则说明这是一个私钥文件。

### 证书格式转换 ###

不同的Web服务软件支持的格式也不一样，因此需要做相应的转换。  
![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzE1MDAzNTA1_size_16_color_FFFFFF_t_70_pic_center]  
您可使用以下方式实现证书格式之间的转换：

> 阿里云盾证书服务统一使用 PEM 格式的数字证书文件。

*  将JKS格式证书转换成PFX格式  
    您可以使用JDK中自带的Keytool工具，将JKS格式证书文件转换成PFX格式。例如，您可以执行以下命令将 server.jks证书文件转换成 server.pfx证书文件：
    
        keytool -importkeystore -srckeystore D:\server.jks -destkeystore D:\server.pfx
                -srcstoretype JKS -deststoretype PKCS12
 *  将PFX格式证书转换为JKS格式  
    您可以使用JDK中自带的Keytool工具，将PFX格式证书文件转换成JKS格式。例如，您可以执行以下命令将 server.pfx证书文件转换成 server.jks证书文件：
    
        keytool -importkeystore -srckeystore D:\server.pfx -destkeystore D:\server.jks
            -srcstoretype PKCS12 -deststoretype JKS
 *  将PEM/KEY/CRT格式证书转换为PFX格式  
    您可以使用 https://www.openssl.org/工具，将KEY格式密钥文件和CRT格式公钥文件转换成PFX格式证书文件。例如，将您的KEY格式密钥文件（server.key）和CRT格式公钥文件（server.crt）拷贝至OpenSSL工具安装目录，使用OpenSSL工具执行以下命令将证书转换成 server.pfx证书文件：
    
        openssl pkcs12 -export -out server.pfx -inkey server.key -in server.crt
 *  将PFX转换为PEM/KEY/CRT  
    您可以使用 https://www.openssl.org/工具，将PFX格式证书文件转化为KEY格式密钥文件和CRT格式公钥文件。例如，将您的PFX格式证书文件拷贝至OpenSSL安装目录，使用OpenSSL工具执行以下命令将证书转换成server.pem证书文件KEY格式密钥文件（server.key）和CRT格式公钥文件（server.crt）：
    
        openssl pkcs12 -in server.pfx -nodes -out server.pem
        openssl rsa -in server.pem -out server.key
        openssl x509 -in server.pem -out server.crt
    
    > 说明 此转换步骤是专用于通过Keytool工具生成私钥和CSR申请证书文件的，并且通过此方法您可以在获取到PEM格式证书公钥的情况下分离私钥。在您实际部署数字证书时，请使用通过此转换步骤分离出来的私钥和您申请得到的公钥证书匹配进行部署。

最后附一张HTTPS请求响应的流程图（网络图片）：  
![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzE1MDAzNTA1_size_16_color_FFFFFF_t_70_pic_center 1]  
从图上可知，HTTPS在请求响应过程中是分两部分的，即证书验证和数据传输。

[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzE1MDAzNTA1_size_16_color_FFFFFF_t_70_pic_center]: /images/20221023/9b0dcf6368424420bc24b3e45f9965d4.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzE1MDAzNTA1_size_16_color_FFFFFF_t_70_pic_center 1]: /images/20221023/2d507dbd55aa43c9a6ff05e5b68b6352.png