使用 vs 不使用 CA 将 PEM 证书文件和私钥转换为 PKCS12

Question

我正在尝试将 pem 证书转换为 pfx (pkcs12) 以连接到 aws iot。

我在 cli 中使用这个命令：

openssl pkcs12 -export -out certificate.pfx -inkey privateKey.key -in certificate.crt -certfile CACert.crt

我发现，如果我添加 CA 或不添加 CA (AmazonRootCA1.pem)，我可以通过任何一种方式进行连接。

问题是：在安全方面重要吗？如果我在生成 pfx 时不包括 CA，是否会降低安全性？

包含 CA 和不包含 CA 时生成的 pfx 是不同的。

请注意，我受到一个库的限制，该库在生成 pfx 时无法包含 CA 证书，因此这个问题。

Answer 1

在安全方面重要吗？

没有。

如果我在生成 pfx 时不包括 CA，是否会降低安全性？

没有。

验证证书时，链会一直检查到根证书。 父证书已经存在于进行验证的人的存储中（这意味着受信任），或者证书链附带证书（将其导入或将其用作本地存储），或者使用 AIA 扩展来下载按需供应链。当根未知时，第二个和第三个选项不会产生有效的链。