Извлечение открытого / закрытого ключа из файла PKCS12 для последующего использования В SSH-PK-аутентификации

Я хочу извлечь открытый и закрытый ключ из моего файла PKCS#12 для последующего использования В SSH-Public-Key-Authentication.

прямо сейчас я генерирую ключи через ssh-keygen, который я помещаю в .ssh / authorized_key, соответственно где-то на стороне клиента.

в будущем я хочу использовать ключи из контейнера PKCS#12, поэтому я должен сначала извлечь открытый ключ из PKCS#12, а затем поместить их в .ssh / authorized_keys-файл. Есть ли шанс заставить это работать через openssl? Совместимы ли ключи в PKCS#12 для аутентификации ssh-открытого ключа?

159
certificate openssl pkcs#12 ssh x509

5 ответов

для извлечения открытого / закрытого ключа из контейнера PKCS#12 можно использовать следующие команды:

  • PKCS#1 закрытый ключ

    openssl pkcs12 -in yourP12File.pfx -nocerts -out privateKey.pem

  • сертификаты:

    openssl pkcs12 -in yourP12File.pfx -clcerts -nokeys -out publicCert.pem
239

это возможность преобразования формата.

для извлечения закрытого ключа в формате openssh можно использовать:

openssl pkcs12 -in pkcs12.pfx -nocerts -nodes | openssl rsa > id_rsa

чтобы преобразовать закрытый ключ в открытый ключ:

openssl rsa -in id_rsa -pubout | ssh-keygen -f /dev/stdin -i -m PKCS8

для извлечения открытого ключа в формате openssh можно использовать:

openssl pkcs12 -in pkcs12.pfx -clcerts -nokeys | openssl x509 -pubkey -noout | ssh-keygen -f /dev/stdin -i -m PKCS8
72

OpenSSH не может использовать файлы PKCS#12 из коробки. Как предлагали другие, вы должны извлечь закрытый ключ в формате PEM, который доставит вас из земли OpenSSL в OpenSSH. Другие решения, упомянутые здесь, не работают для меня. Я использую OS X 10.9 Mavericks (10.9.3 на данный момент) с "расфасованными" утилитами (OpenSSL 0.9.8 y, OpenSSH 6.2p2).

сначала извлеките закрытый ключ в формате PEM, который будет использоваться непосредственно OpenSSH:

openssl pkcs12 -in filename.p12 -clcerts -nodes -nocerts | openssl rsa > ~/.ssh/id_rsa

я настоятельно рекомендую зашифровать закрытый ключ с паролем:

openssl pkcs12 -in filename.p12 -clcerts -nodes -nocerts | openssl rsa -passout 'pass:Passw0rd!' > ~/.ssh/id_rsa

очевидно, что писать простой текстовый пароль в командной строке тоже небезопасно, поэтому вы должны удалить последнюю команду из истории или просто сделать так, чтобы она туда не попала. Разные оболочки имеют разные способы. Вы можете префикс вашей команды с пространством, чтобы предотвратить его сохранение в историю в Bash и многих других оболочках. Вот также, Как удалить команду из истории в Bash:

history -d $(history | tail -n 2 | awk 'NR == 1 { print  }')

кроме того, вы можете использовать различные способ передачи пароля закрытого ключа OpenSSL-consult документация OpenSSL для Аргументов фразы пароля.

затем создайте открытый ключ OpenSSH, который можно добавить в файл authorized_keys:

ssh-keygen -y -f ~/.ssh/id_rsa > ~/.ssh/id_rsa.pub
10

Решение 1:

извлечь P12 из jks

keytool -importkeystore -srckeystore MyRootCA.jks -destkeystore MyRootCA.p12 -deststoretype PKCS12

извлеките PEM из P12 и отредактируйте файл и pem из файла crt

openssl pkcs12 -in MyRootCA.p12 -clcerts -nokeys -out MyRootCA.crt

извлечь ключ из jks

openssl pkcs12 -in MyRootCA.p12 -nocerts -out encryptedPrivateKey.pem
openssl rsa -in encryptedPrivateKey.pem -out decryptedPrivateKey.key

решение 2:

извлечь PEM и encryptedPrivateKey в txt-файл"'

openssl pkcs12 -in MyRootCA.p12 -out keys_out.txt

расшифровать закрытый ключ

openssl rsa -in encryptedPrivateKey.key [-outform PEM] -out decryptedPrivateKey.key
3

насколько я знаю, PKCS#12-это просто хранилище сертификатов / открытых / закрытых ключей. Если вы извлекли открытый ключ из файла PKCS#12, OpenSSH должен иметь возможность использовать его, пока он был извлечен в PEM. Вы, наверное, уже знаете, что вам также нужен соответствующий закрытый ключ (также в PEM), чтобы использовать его для аутентификации ssh-public-key.

0