无法将.jks转换为.pkcs12：多余的私钥

Question

2017年12月30日更新 - 4：

我已经设法解压缩.jks文件并从中提取密钥和证书。为此，我编写了一个受signerbox2启发的小nodejs程序，这是一个使用.jks对数据进行签名的开源项目。特别是，我使用jksreader npm包，它只存在了好几天了！

我写的程序看起来像这样：

const fs = require('fs');
      jksreader = require('jksreader'),

      pathToFile = process.argv[2],
      password = process.argv[3],

      contents = fs.readFileSync(pathToFile),
      parsedContent = jksreader.parse(contents);

var   key = jksreader.decode(parsedContent.material[0].key, password);

fs.writeFileSync('key', key);

for (var i = 0; i < parsedContent.material[0].certs.length; i++) {
  var cert = parsedContent.material[0].certs[i];
  fs.writeFileSync('cert' + i, cert);
}

这个程序调用如下：

node index.js /path/tp/my_key.jks my_password

输出看起来像一堆文件：

cert0
cert1
cert2
cert3
key

证书是DER格式，可以像这样读取（注意-engine dstu参数）：

openssl x509 -in cert2 -inform der -text -noout -engine dstu

但是，我无法弄清楚如何读取（或转换为PEM）密钥。我还在努力。 openssl asn1parse在密钥文件上运行良好。这是openssl asn1parse output。我不知道从哪里开始。

2017年12月28日更新 - 3：

我安装了Keystore Explorer。它也无法提取私钥。它可以显示比我使用keytool更多的信息。这里唯一奇怪的是，同一个证书有两个几乎完全相同的副本，以我的名字命名（在大写字母中）：

以下表明该条目符合DSTU-4145标准：

2017年12月28日更新 - 2：

.jks中包含的密钥遵循或以某种方式与“DSTU-4145签名方案”（算法）相关。这是乌克兰的政府标准。

我对签名方案几乎一无所知;例如，DSTU-4145可以在BouncyCastle specification page上种子。

也许我不知何故需要安装DSTU-4145算法，以便keytool知道如何提取私钥？

2017年12月28日更新 - 1：

在Ubuntu上的以下Java版本下执行此操作：

$ java -version
java version "1.7.0_151"
OpenJDK Runtime Environment (IcedTea 2.6.11) (7u151-2.6.11-2ubuntu0.14.04.1)
OpenJDK 64-Bit Server VM (build 24.151-b01, mixed mode)

也不适用于macOS下的Java的以下版本：

java version "1.8.0_144"
Java(TM) SE Runtime Environment (build 1.8.0_144-b01)
Java HotSpot(TM) 64-Bit Server VM (build 25.144-b01, mixed mode)

---

我从官方机构获得了.jks。

我想将.jks文件转换为.pkcs12，以便与openssl一起使用来实际签名。相反，我得到一个错误。

这就是我正在做的事情：

$ keytool -importkeystore \
        -srckeystore my_keystore.jks \
        -destkeystore my_keystore.pkcs12 \
        -deststoretype pkcs12

Enter destination keystore password:
Re-enter new password:
Enter source keystore password:
Enter key password for <my_key>
keytool error: java.security.UnrecoverableKeyException: excess private key

但是，同时可以列出密钥：

$ keytool -list -keystore my_key.jks
Enter keystore password:

Keystore type: JKS
Keystore provider: SUN

Your keystore contains 1 entry

my_key, Jan 18, 1970, PrivateKeyEntry,
Certificate fingerprint (SHA1): A1:B2:C3:D4:E5:F6:85:E4:2B:03:B9:68:FD:AE:9D:5B:24:CF:BF:FF

我究竟做错了什么？

Answer 1

找到JS的好工作。 （FYI Stack只对每个评论做一个@ - 幸运的是我在最近修改时看到了这个。）

从那以后我们现在可以看到你的私钥在PKCS8中有属性（一个合法但很少使用的特性），在重新检查时我看到标准JCE不支持（在decode中有评论但在parseKey中没有）。它似乎是BouncyCastle所做的 - 但是bcprov没有做JKS。

我建议你在这里继续使用OpenSSL，因为无论如何这都是你想要的结果。您绝对可以将证书文件从binary / DER转换为PEM：

 openssl x509 -in cert$i -inform der -out cert$i.pem -engine dstu 
 # or maybe pem$i or whatever names you find convenient

我很确定你可以将密钥文件转换为PEM：

 openssl pkey -in key -inform der -out key.pem -engine dstu
 # or whatever name
 # output defaults to unencrypted but your input is already unencrypted so no loss

但如果这不起作用，你可以手工完成：

(echo "-----BEGIN PRIVATE KEY-----"; openssl base64 <key; echo "-----END PRIVATE KEY-----") >key.pem 

然后你应该能够将PEM文件提供给openssl pkcs12 -export -engine dstu来创建PKCS12。

或者，由于StackOverflow应该是关于编程的，我认为如果你使用BC提供程序来读取密钥并编写PKCS12，它会起作用，例如：

KeyFactory kf = KeyFactory.getInstance ("DSTU4145", "BC");
PrivateKey key = kf.generatePrivate (new PKCS8EncodedKeySpec (Files.readAllBytes("key")));
CertificateFactory cf = CertificateFactory.getInstance ("X.509", "BC");
// not sure we need the BC implementation for the certs, but can't hurt 
Certificate[] certs = new Certificate[4];
for( int i = 0; i < 4; i++ ){
  certs[i] = cf.generateCertificate (new FileInputStream ("cert"+i));
  // or "cert"+i+".pem" -- CertificateFactory can read either DER or PEM
}
// or concatenate the cert PEM files into one and do
Certificate[] certs = cf.generateCertificates (new FileInputStream ("certs.pem")).toArray(new Certificate[0]);
// better to close the stream(s) when done like below but for input isn't vital

KeyStore ks = KeyStore.getInstance ("PKCS12", "BC"); ks.load(null); 
char[] pw = "password".toCharArray(); // or preferably better value
ks.setKeyEntry("mykey", pkey, pw, certs);
try(OutputStream os = new FileOutputStream("result")){ ks.store(os, pw); }