修改Java+BouncyCastle导出EC私钥格式适配OpenSSL及HTTP服务

我用OpenSSL创建了包含EC密钥对的PKCS12文件，Java程序读取该文件后导出的私钥以-----BEGIN EC PRIVATE KEY-----开头，无法被openssl ec命令读取，Apache HTTPD也拒绝使用。但通过OpenSSL命令行提取的私钥以-----BEGIN PRIVATE KEY-----开头，完全正常。

格式差异说明 #

• SEC1格式：Java导出的-----BEGIN EC PRIVATE KEY-----属于EC私钥专用格式，仅包含私钥数据和曲线相关信息，缺少通用算法标识。
• PKCS#8格式：OpenSSL导出的-----BEGIN PRIVATE KEY-----是通用私钥容器，包含密钥算法OID、曲线参数等完整元数据，是OpenSSL和Apache HTTPD默认支持的私钥格式。

解决方案：修改Java代码导出PKCS#8格式私钥 #

使用BouncyCastle相关工具类，显式生成PKCS#8格式的私钥：

修改后的核心代码 #

import org.bouncycastle.openssl.jcajce.JcaPEMWriter;
import org.bouncycastle.openssl.jcajce.JcaPKCS8Generator;
import org.bouncycastle.util.io.pem.PemObjectGenerator;

// 加载PKCS12文件的逻辑保持不变
try (FileInputStream in = new FileInputStream(certFile)) {
    KeyStore certs = KeyStore.getInstance(keyStoreType);
    certs.load(in, certSecret_in.toCharArray());
} catch(Exception e){
    throw new RuntimeException("Unable to load server certificate", e);
}           

// 导出PKCS#8格式私钥
try (JcaPEMWriter writer = new JcaPEMWriter(new FileWriter(path))) {
    PrivateKey privateKey = (PrivateKey) certs.getKey(alias, secret.toCharArray());
    // 生成PKCS#8格式的PEM对象
    PemObjectGenerator pkcs8Gen = new JcaPKCS8Generator(privateKey, null);
    writer.writeObject(pkcs8Gen);
} catch (Exception e) {
    throw new RuntimeException("Could not save private key", e);
}

命令行临时转换验证（测试用） #

如果需要快速验证格式转换的可行性，可使用OpenSSL将现有bad.key转换为PKCS#8格式：

openssl pkcs8 -topk8 -inform PEM -in bad.key -outform PEM -nocrypt -out converted.key

转换后执行以下命令验证：

openssl ec -in converted.key -noout -text

若能正常输出密钥信息，说明格式符合要求，可直接用于Apache HTTPD。

原理说明 #

Java通过BouncyCastle的PEMWriter导出EC私钥时，默认采用SEC1专用格式。显式使用JcaPKCS8Generator可以强制生成包含完整算法元数据的PKCS#8格式，该格式兼容OpenSSL和Apache HTTPD的密钥读取逻辑。

内容的提问来源于stack exchange，提问作者ogionnj