服务器证书格式和OPENSSL使用

原创

已于 2022-02-23 19:33:18 修改 · 452 阅读

CC 4.0 BY-SA版权

文章标签：

于 2022-02-23 15:10:28 首次发布

本文详细介绍了服务器上常见的证书格式X.509，包括DER、PEM的区别，以及它们在不同场景下的使用，如DER偏重Java和Windows，PEM常用于Apache和Nginx，PFX/P12和JKS涉及私钥保护。还提供了证书和私钥操作实例，以及转换工具链接。

根据不同的服务器以及服务器的版本，我们需要用到不同的证书格式，就市面上主流的服务器来说，大概有以下格式：

X.509证书,其核心是根据RFC 5280编码或数字签名的数字文档

编码

.DER，文件是二进制格式，只保存证书，不保存私钥。.DER = DER扩展用于二进制DER编码证书。这些文件也可能承载CER或CRT扩展。正确的说法是“我有一个DER编码的证书”不是“我有一个DER证书”。而且DER格式只是证书的二进制形式，而不是ASCII PEM格式。它有时会有.der的文件扩展名，但它的文件扩展名通常是.cer所以判断DER .cer文件和PEM .cer文件之间区别的唯一方法是在文本编辑器中打开它并查找BEGIN / END语句。所有类型的证书和私钥都可以用DER格式编码。
.PEM，一般是文本格式，可保存证书，可保存私钥。.PEM = PEM扩展用于不同类型的X.509v3文件，是证书颁发机构颁发证书的最常见格式.PEM证书通常具有扩展名，例如.pem，.crt，.cer和.key。它们是Base64编码的ASCII文件，包含“----- BEGIN CERTIFICATE -----”和“----- END CERTIFICATE -----”语句。

后缀文件

CER：.crt的替代形式（Microsoft Convention）您可以在微软系统环境下将.crt转换为.cer（.both DER编码的.cer，或base64 [PEM]编码的.cer）。
.CRT，可以是二进制格式，可以是文本格式，不保存私钥。.CRT = CRT扩展用于证书。证书可以被编码为二进制DER或ASCII PEM。 CER和CRT扩展几乎是同义词。最常见的于Unix 或类Unix系统。
.PFX .P12，二进制格式，同时包含证书和私钥，一般有密码保护。
.JKS，二进制格式，同时包含证书和私钥，一般有密码保护。