Tekst źródłowy strony Konwersja formatu klucza prywatnego i certyfikatu

{{Odpowiedzialność za obszar kliencki}}
Na stronie tej znajdują się opisy przykładowych sposobów konwersji klucza prywatnego i certyfikatu między różnymi formatami. Konwersja może być potrzebna w celu dostosowania formatu do indywidualnych wymagań określonego oprogramowania klienckiego.

= Konwersja klucza prywatnego i certyfikatu =

== Z PEM do PKCS #12 ==

Archiwum PKCS #12 służy do importowania klucza prywatnego i certyfikatu np. do programów [[Firefox]], [[Google Chrome|Chrome]], [[Thunderbird]] oraz do systemów [[Android]] i [[Microsoft Windows|Windows]]. Plik-archiwum PKCS #12 posiada standardowo rozszerzenie <code>.p12</code> lub <code>.pfx</code>.

=== Za pomocą OpenSSL ===

Konwersja przykładowego klucza prywatnego w formacie [https://en.wikipedia.org/wiki/Privacy-Enhanced_Mail PEM] zapisanego w pliku <code>439d.key</code> oraz certyfikatu w formacie [https://en.wikipedia.org/wiki/Privacy-Enhanced_Mail PEM] zapisanego w pliku <code>439d.crt</code> do archiwum [https://en.wikipedia.org/wiki/PKCS_12 PKCS #12] zapisanego w pliku <code>439d.p12</code> z nadaniem przykładowej przyjaznej nazwy <code>439d@demo.cybo.pl</code> możliwa jest za pomocą polecenia
<pre>openssl pkcs12 -export -inkey 439d.key -in 439d.crt -out 439d.p12 -name "439d@demo.cybo.pl"
</pre>

Uwagi:
* W przypadku jeśli klucz prywatny w pliku <code>439d.key</code> jest zaszyfrowany, po uruchomieniu powyższego polecenia konieczne będzie podanie hasła do niego.
* Przed zakończeniem generowania archiwum <code>439d.p12</code> program zapyta dwukrotnie o hasło, które będzie użyte do zaszyfrowania tego archiwum. Hasło to będzie potrzebne np. przy imporcie archiwum do programów lub eksporcie plików z tego archiwum jak niżej.
* Przyjazna nazwa zapisana w archiwum [https://en.wikipedia.org/wiki/PKCS_12 PKCS #12] (<code>439d@demo.cybo.pl</code> w powyższym przykładzie) jest pokazywana w niektórych programach przy certyfikacie zaimportowanym do nich z takiego archiwum.
* W przypadku korzystania z openssl w wersji 3 lub nowszej (wersję openssl można sprawdzić za pomocą polecenia <code>openssl&nbsp;version</code>), w pliku <code>439d.p12</code> użyte zostaną nowsze (bezpieczniejsze) algorytmy kryptograficzne niż w przypadku gdy do generowania używana jest starsza wersja openssl. Nowsze algorytmy kryptograficzne mogą jednak nie być obsługiwane przez starsze oprogramowanie (częsty objaw to odrzucanie hasła do takiego pliku). Zalecane jest używanie aktualnych wersji oprogramowania (zarówno openssl jak i oprogramowania klienckiego), które będą obsługiwać nowsze algorytmy kryptograficzne. W przypadku jeśli jednak niezbędne będzie utworzenie w openssl w wersji 3 lub nowszej pliku <code>439d.p12</code> w formacie zgodnym ze starszym oprogramowaniem (przestarzałe algorytmy kryptograficzne), wtedy do parametrów powyższego polecenia można dodać parametr <code>-legacy</code>

=== Za pomocą WCT ===

W celu konwersji do archiwum [https://en.wikipedia.org/wiki/PKCS_12 PKCS #12] klucza prywatnego [https://pl.wikipedia.org/wiki/RSA_(kryptografia) RSA] PKCS #8 zapisanego w formacie [https://en.wikipedia.org/wiki/Privacy-Enhanced_Mail PEM] (klucze takie generowane są np. w [[CSR|przykładach generowania CSR]]) oraz pasującego do tego klucza certyfikatu w formacie [https://en.wikipedia.org/wiki/Privacy-Enhanced_Mail PEM], wystawionego dla użytkownika z ID <code>439d</code> w serwisie korzystającym z [[Domena certyfikatów|domeny certyfikatów]] <code>demo.cybo.pl</code> należy:
# w przeglądarce WWW otworzyć stronę aplikacji [[WCT]],
# w polu ''ID właściciela'' podać wartość z pola CN (ang. <i>common name</i>) tematu (ang. <i>subject</i>) certyfikatu, tj. <code>439d@demo.cybo.pl</code> (o ile nie jest ona tam już wprowadzona),
# w polu ''Hasło'' podać hasło do odszyfrowania klucza jeśli jest on zaszyfrowany w pliku,
# wcisnąć przycisk ''Załaduj istniejący klucz z pliku'', wybrać i załadować plik z kluczem,
# wcisnąć przycisk ''Załaduj certyfikat z pliku'', wybrać i załadować plik z certyfikatem,
# w polu ''Hasło'' podać hasło, które zostanie użyte do zaszyfrowania klucza prywatnego i certyfikatu w wynikowym archiwum PKCS #12,
# wcisnąć przycisk ''Pobierz plik PKCS #12 z kluczem  i certyfikatem'' i zapisać plik z archiwum PKCS #12,
# zamknąć stronę aplikacji WCT w przeglądarce WWW.

Uwagi:

* Archiwa PKCS #12 generowane za pomocą [[WCT]] używają nowszych algorytmów kryptograficznych (podobnie jak archiwa tego typu tworzone przez oprogramowanie [[OpenSSL]] 3.0. Nowsze algorytmy kryptograficzne mogą jednak nie być obsługiwane przez starsze oprogramowanie (częsty objaw to odrzucanie hasła do takiego pliku). Zalecane jest używanie aktualnych wersji oprogramowania, które będą obsługiwać nowsze algorytmy kryptograficzne. W przypadku jeśli jednak niezbędne będzie utworzenie archiwum PKCS #12 w formacie zgodnym ze starszym oprogramowaniem (przestarzałe algorytmy kryptograficzne), wtedy można do tego celu użyć polecenia <code>openssl</code> [[#Za pomocą OpenSSL|jak wyżej]].

== Z PKCS #12 do PEM ==

=== Klucz prywatny ===

Eksport klucza prywatnego z archiwum [https://en.wikipedia.org/wiki/PKCS_12 PKCS #12] zapisanego w pliku <code>439d.p12</code> do pliku <code>439d.key</code> w formacie [https://en.wikipedia.org/wiki/Privacy-Enhanced_Mail PEM] możliwy jest za pomocą polecenia
<pre>openssl pkcs12 -in 439d.p12 -nocerts -out 439d.key
</pre>

Uwagi:
* Przy eksporcie program zapyta o hasło do archiwum oraz dwukrotnie o hasło, którym zaszyfrowany zostanie wyeksportowany klucz.

=== Certyfikat ===

Eksport certyfikatu użytkownika z archiwum [https://en.wikipedia.org/wiki/PKCS_12 PKCS #12] zapisanego w pliku <code>439d.p12</code> do pliku <code>439d.crt</code> w formacie [https://en.wikipedia.org/wiki/Privacy-Enhanced_Mail PEM] możliwy jest za pomocą polecenia
<pre>openssl pkcs12 -in 439d.p12 -clcerts -nokeys -out 439d.crt
</pre>

= Konwersja klucza prywatnego =

== Z zaszyfrowanego do niezaszyfrowanego ==
{{Informacja|Treść klucza prywatnego powinna być znana jedynie jego właścicielowi. Przechowywanie klucza prywatnego w formacie niezaszyfrowanym pozwala na korzystanie z niego bez podawania hasła ale jest mniej bezpieczne (większe ryzyko kompromitacji tego klucza).}}
=== Za pomocą OpenSSL ===

Konwersja przykładowego zaszyfrowanego klucza prywatnego [https://pl.wikipedia.org/wiki/RSA_(kryptografia) RSA] w formacie [https://en.wikipedia.org/wiki/Privacy-Enhanced_Mail PEM] zapisanego w pliku <code>439d-pem.key</code> do niezaszyfrowanego klucza prywatnego w formacie [https://en.wikipedia.org/wiki/Privacy-Enhanced_Mail PEM] zapisanego w pliku <code>439d-plain-pem.key</code> możliwa jest za pomocą polecenia
<pre>openssl pkcs8 -topk8 -nocrypt -in 439d-pem.key -out 439d-plain-pem.key
</pre>

=== Za pomocą WCT ===

W celu konwersji za pomocą aplikacji [[WCT]] zaszyfrowanego klucza prywatnego [https://pl.wikipedia.org/wiki/RSA_(kryptografia) RSA] PKCS #8 zapisanego w pliku w formacie [https://en.wikipedia.org/wiki/Privacy-Enhanced_Mail PEM] (klucze takie generowane są np. w [[CSR|przykładach generowania CSR]]) do niezaszyfrowanego klucza prywatnego w formacie [https://en.wikipedia.org/wiki/Privacy-Enhanced_Mail PEM] właściciel tego klucza może:
# w przeglądarce WWW otworzyć stronę aplikacji [[WCT]],
# w polu ''ID właściciela'' podać swój identyfikator np. <code>439d@demo.cybo.pl</code>,
# w polu ''Hasło'' podać hasło do odszyfrowania klucza,
# wcisnąć przycisk ''Załaduj istniejący klucz z pliku'', wybrać i załadować plik z zaszyfrowanym kluczem,
# usunąć treść z pola ''Hasło'' i pozostawić to pole puste,
# wcisnąć przycisk ''Pobierz klucz'', zaakceptować pobieranie niezaszyfrowanego klucza i zapisać plik z niezaszyfrowanym kluczem,
# zamknąć stronę aplikacji WCT w przeglądarce WWW.

== Z niezaszyfrowanego do zaszyfrowanego ==

=== Za pomocą OpenSSL ===

Konwersja przykładowego niezaszyfrowanego klucza prywatnego [https://pl.wikipedia.org/wiki/RSA_(kryptografia) RSA] w formacie [https://en.wikipedia.org/wiki/Privacy-Enhanced_Mail PEM] zapisanego w pliku <code>439d-plain-pem.key</code> do zaszyfrowanego algorytmem AES256 klucza prywatnego w formacie [https://en.wikipedia.org/wiki/Privacy-Enhanced_Mail PEM] zapisanego w pliku <code>439d-pem.key</code> możliwa jest za pomocą polecenia
<pre>openssl pkcs8 -topk8 -in 439d-plain-pem.key -out 439d-pem.key
</pre>

=== Za pomocą WCT ===

W celu konwersji za pomocą aplikacji [[WCT]] niezaszyfrowanego klucza prywatnego [https://pl.wikipedia.org/wiki/RSA_(kryptografia) RSA] PKCS #8 zapisanego w pliku w formacie [https://en.wikipedia.org/wiki/Privacy-Enhanced_Mail PEM] (klucze takie generowane są np. w [[CSR|przykładach generowania CSR]]) do zaszyfrowanego klucza prywatnego w formacie [https://en.wikipedia.org/wiki/Privacy-Enhanced_Mail PEM] właściciel tego klucza może:
# w przeglądarce WWW otworzyć stronę aplikacji [[WCT]],
# w polu ''ID właściciela'' podać swój identyfikator np. <code>439d@demo.cybo.pl</code>,
# wcisnąć przycisk ''Załaduj istniejący klucz z pliku'', wybrać i załadować plik z niezaszyfrowanym kluczem,
# w polu ''Hasło'' podać hasło do zaszyfrowania klucza,
# wcisnąć przycisk ''Pobierz klucz'' i zapisać plik z zaszyfrowanym kluczem,
# zamknąć stronę aplikacji WCT w przeglądarce WWW.

= Konwersja certyfikatu =

== Z PEM do DER ==

Konwersja przykładowego certyfikatu w formacie [https://en.wikipedia.org/wiki/Privacy-Enhanced_Mail PEM] zapisanego w pliku <code>439d-pem.crt</code> do certyfikatu w formacie [https://en.wikipedia.org/wiki/Distinguished_Encoding_Rules DER] zapisanego w pliku <code>439d-der.crt</code> możliwa jest za pomocą polecenia
<pre>openssl x509 -outform der -in 439d-pem.crt -out 439d-der.crt
</pre>

== Z DER do PEM ==

Konwersja przykładowego certyfikatu w formacie [https://en.wikipedia.org/wiki/Distinguished_Encoding_Rules DER] zapisanego w pliku <code>439d-der.crt</code> do certyfikatu w formacie [https://en.wikipedia.org/wiki/Privacy-Enhanced_Mail PEM] zapisanego w pliku <code>439d-pem.crt</code> możliwa jest za pomocą polecenia
<pre>openssl x509 -inform der -in 439d-der.crt -out 439d-pem.crt
</pre>

== Z PKCS #7/DER do PEM ==

Konwersja przykładowego certyfikatu w formacie [https://en.wikipedia.org/wiki/PKCS_7 PKCS #7]/[https://en.wikipedia.org/wiki/Distinguished_Encoding_Rules DER] zapisanego w pliku <code>439d-der.p7b</code> do certyfikatu w formacie [https://en.wikipedia.org/wiki/Privacy-Enhanced_Mail PEM] zapisanego w pliku <code>439d-pem.crt</code> możliwa jest za pomocą polecenia
<pre>openssl pkcs7 -print_certs -inform der -in 439d-der.p7b -out 439d-pem.crt
</pre>

== Z PKCS #7/PEM do PEM ==

Konwersja przykładowego certyfikatu w formacie [https://en.wikipedia.org/wiki/PKCS_7 PKCS #7]/[https://en.wikipedia.org/wiki/Privacy-Enhanced_Mail PEM] zapisanego w pliku <code>439d-pem.p7b</code> do certyfikatu w formacie [https://en.wikipedia.org/wiki/Privacy-Enhanced_Mail PEM] zapisanego w pliku <code>439d-pem.crt</code> możliwa jest za pomocą polecenia
<pre>openssl pkcs7 -print_certs -in 439d-pem.p7b -out 439d-pem.crt
</pre>

== Z PKCS #7/DER do PKCS #7/PEM ==

Konwersja przykładowego certyfikatu w formacie [https://en.wikipedia.org/wiki/PKCS_7 PKCS #7]/[https://en.wikipedia.org/wiki/Distinguished_Encoding_Rules DER] zapisanego w pliku <code>439d-der.p7b</code> do certyfikatu w formacie [https://en.wikipedia.org/wiki/PKCS_7 PKCS #7]/[https://en.wikipedia.org/wiki/Privacy-Enhanced_Mail PEM] zapisanego w pliku <code>439d-pem.p7b</code> możliwa jest za pomocą polecenia
<pre>openssl pkcs7 -inform der -in 439d-der.p7b -out 439d-pem.p7b
</pre>

Uwagi:
* Ze względów bezpieczeństwa hasła stosowane do szyfrowania kluczy prywatnych powinny być możliwie trudne do złamania a kopie plików zawierających klucze prywatne powinny być bezpiecznie usuwane gdy nie będą już potrzebne. Przykład polecenia do wygenerowania losowego, 256-bitowego hasła: <pre>openssl rand -base64 32</pre>

Zobacz też:
*[[OpenSSL]]
*[[WCT]]

[[Kategoria:Android]]
[[Kategoria:OpenSSL]]
[[Kategoria:WCT]]
[[Kategoria:Windows]]