如何验证X.509证书格式？

Question

我有一个SSL证书（从服务器根目录开始的证书链），这似乎还可以。我可以在Windows上打开证书，也可以使用Windows向导将其导入。

但是，当我尝试通过以下命令（使用BouncyCastle）将其转换为密钥库时：

keytool -importcert -v -trustcacerts -file "test.crt" -alias ca -keystore "test.bks" -provider org.bouncycastle.jce.provider.BouncyCastleProvider -providerpath "bcprov-ext-jdk15on-1.46.jar" -storetype BKS -storepass testtest

我收到以下错误：

keytool error: java.lang.Exception: Input not an X.509 certificate
java.lang.Exception: Input not an X.509 certificate
        at sun.security.tools.KeyTool.addTrustedCert(Unknown Source)
        at sun.security.tools.KeyTool.doCommands(Unknown Source)
        at sun.security.tools.KeyTool.run(Unknown Source)
        at sun.security.tools.KeyTool.main(Unknown Source)

我正在开发一个Android应用程序，需要通过https调用基于REST的API。

是否可以通过任何可以验证证书的基于Web的工具（或其他方式）？

Answer 1

看来您的test.crt不是X.509格式。通常，如果它是经过PEM编码的X.509证书，则将从以下行开始：

----- BEGIN证书-----
MII ...

要么

----- BEGIN可信证书-----
MII ...

DER编码的X.509证书对您来说似乎是随机的二进制数据，但是您可以使用以下openssl命令行对此类DER编码的文件进行解码：

openssl asn1parse -inform d -in test.crt -i

输出中的起始OID会告诉您它是X.509证书还是PKCS＃7包之类的东西。