证书名词解释说明
名词 |
含义 |
X.509 |
一种通用的证书格式，包含证书持有人的公钥，加密算法等信息 |
PKCS1~PKCS12 |
公钥加密（非对称加密）的一种标准（Public key cryptography Standards）,一般存储为*.pn，*p12是包含证书和密钥的封装格式 |
*.der |
证书的二进制存储格式（不常用） |
*.pem |
证书或密钥的Base64文本存储格式，可以单独存放证书或密钥，也可以同时存放证书或密钥 |
*.key |
单独存放的pem格式的密钥，一般保存为*.key |
*.cer *.crt |
俩个指的都是证书，linuc下叫crt，windows下叫cer，存储格式可以是pem，也可以是der |
*.csr |
证书前面请求（Certificate signing request）,包含证书持有人的信息，国家，邮件，域名等信息 |
*.pfx |
微软IIS的实现 |
*.jks |
Java 的keytool实现的证书格式 |
1、证书的格式可以相互转换，OPENSSL 先 生成私钥，然后在生产证书签名请求，最后通过私钥和证书前面请求生成公钥。
2、创建证书签名请求（Certificate signing request ）和私钥（primary key）：
Openssl req -newkey rsa:2048 -nodes -out test.csr -keyout test.key
3、创建公钥（public key）
Openssl x509 -req -days 365 -in test.csr -signkey test.key -out test.crt
4、生成*.p12文件，生成的时候需要指定密码
openssl pkcs12 -export -in your_crt.crt -inkey your_key.key -out your_p12.p12 openssl pkcs12 -export -in your_cer.cer -inkey your_key.key -out your_p12.p12
5、再生成keystore文件
keytool -importkeystore -v -srckeystore your_p12.p12 -srcstoretype pkcs12 -srcstorepass 你设置的密码 -destkeystore your_keystore.keystore -deststoretype jks -deststorepass 你设置的密码
6、pfx转换cer，crt，key
7、导出私钥必须输入密码
openssl pkcs12 -in test.wosign.pfx -nodes -out test.pem
8、去除pem证书密码，转换成rsa格式，如果使用DSA格式，只需将rsa替换成dsa
openssl rsa -in test.pem -out test.key openssl x509 -in test.pem -out test.crt（cer）
10、使用.jks转为.pfx
openssl pkcs12 -export -in client1.crt -inkey client1.key -out client1.pfx
11、使用.pfx转换.jks
JKS2PFX server.jks 123456 tomcat exportfile c:\progra~1\Java\jre1.5.0_06\bin (转换后文件存放在相应目录下。)
12、创建PFX格式证书（pkcs12 ）
openssl pkcs12 -export -in my.cer -inkey my.key -out mycert.pfx
13、证书编码格式转换
#PEM to DER openssl x509 -in cert.crt -outform der -out cert.der #DER to PEM openssl x509 -in cert.crt -inform der -outform pem -out cert.pem
生成服务器端私钥 openssl genrsa -des3 -out server.key 2048 生成服务器端公钥 openssl rsa -in server.key -pubout -out server.pem 生成客户端私钥 openssl genrsa -des3 -out client.key 2048 生成客户端公钥 openssl rsa -in client.key -pubout -out client.pem 生成 CA 私钥 openssl genrsa -des3 -out ca.key 2048 生成证书请求 # X.509 Certificate Signing Request (CSR) Management. openssl req -new -key ca.key -out ca.csr 使用私钥为证书请求签名，生成给服务器签署的证书，格式是x509的PEM格式 # X.509 Certificate Data Management. openssl x509 -req -in ca.csr -signkey ca.key -out ca.crt -outform pem -days 3650 #-outform pem指定证书生成的格式，默认是pem，所以这个命令也可以写作成 #-days 3650 指10年有效 #也可以 openssl x509 -req -in ca.csr -signkey ca.key -out ca.crt 服务端向CA生成证书请求 # 服务器端需要向 CA 机构申请签名证书，在申请签名证书之前依然是创建自己的 CSR 文件 openssl req -new -key server.key -out server.csr # 向自己的 CA 机构申请证书，签名过程需要 CA 的证书和私钥参与，最终颁发一个带有 CA 签名的证书 openssl x509 -req -CA ca.crt -CAkey ca.key -CAcreateserial -in server.csr -out server.crt 生成cer文件 #使用openssl 进行转换 openssl x509 -in server.crt -out server.cer -outform der