主页 / server / 问题 / 9708
Accepted
Noah Goodrich
Asked: 2009-05-19 18:24:42 +0800 CST

什么是 Pem 文件，它与其他 OpenSSL 生成的密钥文件格式有何不同？

  • 772

我负责维护两台 Debian 服务器。每次我必须对安全证书做任何事情时，我都会在谷歌上搜索教程并不断努力，直到它最终奏效。

但是，在我的搜索中，我经常遇到不同的文件格式（.key, .csr, .pem），但我一直无法很好地解释每种文件格式的用途。

我想知道ServerFault的好人是否可以就此事提供一些澄清？

certificate pki

3 个回答

  1. Best Answer

    SSL 已经存在了很长时间，您会认为容器格式会达成一致。你是对的，有。太多的标准，因为它发生。最后，所有这些都是以机器可读的方式对抽象语法符号 1 (ASN.1)格式化数据进行编码的不同方式——这恰好是定义 x509 证书的格式。

    • .csr - 这是一个证书签名请求。一些应用程序可以生成这些以提交给证书颁发机构。实际格式是RFC 2986中定义的 PKCS10 。它包括所请求证书的部分/全部关键细节，例如主题、组织、状态、诸如此类，以及要签署的证书的公钥。这些由 CA 签名并返回证书。返回的证书是公共证书（包括公钥但不包括私钥），它本身可以有多种格式。
    • .pem - 在 RFC 1422 （ 1421到1424系列的一部分）中定义，这是一种容器格式，可能仅包括公共证书（例如 Apache 安装和 CA 证书文件/etc/ssl/certs），或者可能包括整个证书链，包括公钥、私钥和根证书。令人困惑的是，它也可能对 CSR 进行编码（例如，此处使用的），因为 PKCS10 格式可以转换为 PEM。该名称来自Privacy Enhanced Mail (PEM)，这是一种失败的安全电子邮件方法，但它使用的容器格式仍然存在，并且是 x509 ASN.1 密钥的 base64 转换。
    • .key - 这是（通常）PEM 格式的文件，仅包含特定证书的私钥，只是一个常规名称，而不是标准化名称。在 Apache 安装中，这通常位于/etc/ssl/private. 这些文件的权限非常重要，如果设置错误，有些程序会拒绝加载这些证书。
    • .pkcs12 .pfx .p12 - 最初由 RSA 在公钥加密标准（缩写为 PKCS）中定义，“12”变体最初由 Microsoft 增强，后来作为RFC 7292提交。这是一种受密码保护的容器格式，包含公共和私有证书对。与 .pem 文件不同，此容器是完全加密的。Openssl 可以将其转换为带有公钥和私钥的 .pem 文件：openssl pkcs12 -in file-to-convert.p12 -out converted-file.pem -nodes

    不时出现的其他一些格式：

    • .der - 一种以二进制编码 ASN.1 语法的方法，.pem 文件只是 Base64 编码的 .der 文件。OpenSSL 可以将这些转换为 .pem ( openssl x509 -inform der -in to-convert.der -out converted.pem)。Windows 将这些视为证书文件。默认情况下，Windows 会将证书导出为具有不同扩展名的 .DER 格式文件。喜欢...
    • .cert .cer .crt - 具有不同扩展名的 .pem（或很少 .der）格式的文件，Windows Explorer 将其识别为证书，而 .pem 不是。
    • .p7b .keystore - 在RFC 2315中定义为 PKCS 编号 7，这是 Windows 用于证书交换的格式。Java 本身就理解这些，并且经常将.keystore其用作扩展。与 .pem 样式的证书不同，此格式具有包含证书路径证书的定义方式。
    • .crl - 证书吊销列表。证书颁发机构产生这些作为在到期前取消授权证书的一种方式。您有时可以从 CA 网站下载它们。

    总之，有四种不同的方式来展示证书及其组成部分：

    • PEM - 由 RFC 管理，开源软件优先使用，因为它是基于文本的，因此不太容易出现翻译/传输错误。它可以有多种扩展名（.pem、.key、.cer、.cert 等）
    • PKCS7 - Java 使用并受 Windows 支持的开放标准。不包含私钥材料。
    • PKCS12 - 后来在 RFC 中定义的 Microsoft 私有标准，与纯文本 PEM 格式相比，它提供了增强的安全性。这可以包含私钥和证书链材料。Windows系统优先使用，可通过openssl自由转换为PEM格式。
    • DER - PEM 的父格式。将其视为 base64 编码的 PEM 文件的二进制版本很有用。在 Windows 之外不经常使用。

    我希望这有帮助。

    • 2087

  2. PEM 本身不是证书，它只是一种编码数据的方式。X.509 证书是一种通常使用 PEM 编码的数据类型。

    PEM 是 X.509 证书（其结构使用 ASN.1 定义），使用 ASN.1 DER（可区分编码规则）编码，然后通过 Base64 编码运行并停留在纯文本锚线（BEGIN CERTIFICATE 和 END CERTIFICATE ）。

    您可以使用 PKCS#7 或 PKCS#12 表示法来表示相同的数据，并且可以使用 openssl 命令行实用程序来执行此操作。

    PEM 的明显好处是可以安全地粘贴到电子邮件正文中，因为它有锚线并且是 7 位干净的。

    RFC1422有更多关于 PEM 标准的详细信息，因为它与密钥和证书相关。

    • 174

  3. 有时.crt文件已经是.pem. 请参阅：https ://stackoverflow.com/questions/991758/openssl-pem-key

    • 63

相关问题