我需要使用 SSL 设置 Apache 2 服务器。
我有我的 *.key 文件，但是我在网上找到的所有文档、*.crt 文件都已指定，而我的 CA 只为我提供了一个 *.cer 文件。
*.cer 文件是否与 *.crt 相同？如果不是，如何将 CER 转换为 CRT 格式？
【问题讨论】：
CER 和 CRT 扩展没有任何意义。不同的 PKI 供应商对同一事物使用不同的扩展。如果文件是二进制文件，那么它可能是 ASN.1/DER 编码的。如果文件是人类可读的-----BEGIN CERTIFICATE-----，那么它的 PEM 编码。你有什么（DER 或 PEM），你需要什么（DER 或 PEM）？
加密证书的文件扩展名并不像您期望的那样标准化。默认情况下，Windows 将双击 .crt 文件视为将证书导入 Windows 根证书存储区的请求，但将 .cer 文件视为仅查看证书的请求。因此，它们在某种意义上是不同的，Windows 对于双击每种类型的文件时发生的事情有一些固有的不同含义。
但是当你双击它们时 Windows 处理它们的方式是两者之间的唯一区别。这两个扩展都只是表示它包含一个公共证书。您可以重命名证书文件以使用一个扩展名代替我见过的任何系统或配置文件中的另一个扩展名。而在非 Windows 平台上（甚至在 Windows 上），人们并不特别注意他们使用的扩展名，而是将它们互换处理，因为只要文件内容正确，它们之间就没有区别。
更让人困惑的是，在文件中存储证书数据有两种标准方式：一种是“二进制”X.509 编码，另一种是“文本”base64 编码，通常以“@987654323”开头@"。它们对相同的数据进行编码，但采用不同的方式。大多数系统都接受这两种格式，但如果需要，您可以通过 openssl 或其他工具将一种格式转换为另一种格式。证书文件中的编码实际上与某人为该文件提供的扩展名无关。
【讨论】：
.cer 和 .crt 文件应该可以互换，只要将它们导入密钥库。
查看 .cer 文件的内容。擦除-----BEGIN CERTIFICATE----- 行之前和-----END CERTIFICATE----- 行之后的所有内容。你会留下 BEGIN/END 行，它们之间有一堆 Base64 编码的东西。
-----BEGIN CERTIFICATE-----
MIIDQTCCAqqgAwIBAgIJALQea21f1bVjMA0GCSqGSIb3DQEBBQUAMIG1MQswCQYD
...
pfDACIDHTrwCk5OefMwArfEkSBo/
-----END CERTIFICATE-----
然后使用 keytool 将其导入到您的密钥文件中。
keytool -import -alias myalias -keystore my.keystore -trustcacerts -file mycert.cer
【讨论】：
我假设您有一个包含 PKCS#7 编码的证书数据的 .cer 文件，并且您希望将其转换为 PEM 编码的证书数据（通常是 .crt 或 .pem 文件）。例如，包含 PKCS#7 编码数据的 .cer 文件如下所示：
-----开始PKCS7----- MIIW4gYJKoZIhvcNAQcCoIIW0zCCFs8CAQExADALBgkqhkiG9w0BBwGggha1MIIH ... POI9n9cd2cNgQ4xYDiKWL2KjLB+6rQXvqzJ4h6BUcxm1XAX5Uj5tLUUL9wqT6u0G +bKhADEA -----结束PKCS7-----PEM 证书数据如下所示：
-----开始证书----- MIIHNjCCBh6gAwIBAgIQAlBxtqKazsxUSR9QdWWxaDANBgkqhkiG9w0BAQUFADBm ... nv72c/OV4nlyrvBLPoaS5JFUJvFUG8RfAEY= -----结束证书-----有一个 OpenSSL 命令可以将 .cer 文件（带有 PKCS#7 数据）转换为您可能会遇到的 PEM 数据（上例中的 BEGIN CERTIFICATE 块）。您可以通过此命令在我们将调用 certfile.cer 的文件上将 PKCS#7 数据强制转换为 PEM 格式：
openssl pkcs7 -text -in certfile.cer -print_certs -outform PEM -out certfile.pem
请注意，.cer 或 .pem 文件可能包含一个或多个证书（可能是整个证书链）。
【讨论】：
CER 是二进制形式的 X.509 证书，DER 编码。
CRT 是二进制 X.509 证书，封装在文本 (base-64) 编码中。
编码不一样
【讨论】：
如何将 .cer 文件转换为 .crt 文件（它们的编码不同！）的问题的答案是：
openssl pkcs7 -print_certs -in certificate.cer -out certificate.crt
【讨论】：
openssl x509 -inform der -in certificate.cer -out certificate.pem
unable to load PKCS7 object
做事
openssl x509 -req -days 365 -in server.cer -signkey server.key -out server.crt
【讨论】：
根据文档mod_ssl：
SSLCertificateFile:
Name: SSLCertificateFile
Description: Server PEM-encoded X.509 certificate file
证书文件应该是 PEM 编码的 X.509 证书文件：
openssl x509 -inform DER -in certificate.cer -out certificate.pem
【讨论】：
zscaler 后面运行vagrant 在win (vbox vbox homestead) 时，这是否会通过将我们受信任的根证书安装到vagrant box 中来解决ssl 证书错误？我scp'd 他们，然后使用您的转换并将它们符号链接到/etc/ssl/certs 并在重新配置之前将内容复制到ca-certificates.crt 文件中，但我仍然收到google-recaptcha tls ssl @ 错误987654335@ 在开发盒上。
如果您的 cer 文件是二进制格式，您必须将其转换为
openssl x509 -inform DER -in YOUR_CERTIFICATE.cer -out YOUR_CERTIFICATE.crt
【讨论】：
基本上有两种 CER 证书编码类型，DER 和 Base64。当 DER 类型返回错误加载证书（asn1 编码例程）时，尝试 PEM，它应该可以工作。
openssl x509 -inform DER -in certificate.cer -out certificate.crt
openssl x509 -inform PEM -in certificate.cer -out certificate.crt
【讨论】：
我使用命令：
openssl x509 -inform PEM -in certificate.cer -out certificate.crt
但 CER 是二进制形式的 X.509 证书，DER 编码。 CRT 是二进制 X.509 证书，封装在文本（base-64）编码中。
因此，您也许应该使用：
openssl x509 -inform DER -in certificate.cer -out certificate.crt
然后导入您的证书：
将您的 CA 复制到目录：
/usr/local/share/ca-certificates/
使用命令：
sudo cp foo.crt /usr/local/share/ca-certificates/foo.crt
更新 CA 存储：
sudo update-ca-certificates
【讨论】：
如果我们需要将 .cer 转换为 .crt，这是一个对我有用的案例，尽管它们在上下文上是相同的
openssl pkcs12 -in identity.p12 -nokeys -out mycertificate.crt
我们应该有一个有效的私钥 (identity.p12) PKCS 12 格式，这是我从创建我的证书的 CA（认证机构）提供的密钥库（.jks 文件）生成的。
【讨论】：