Debian 12生成的genrsa密钥无法被mbedtls加载，Debian 11可正常加载

核心原因是Debian 12搭载的OpenSSL 3.0系列，和Debian 11的OpenSSL 1.1.1系列在默认生成RSA私钥的格式上存在差异：

• Debian 11的OpenSSL 1.1.1默认生成PKCS#1格式的私钥，这是传统的RSA私钥格式，文件体积稍大（对应你提到的1704字节）
• Debian 12的OpenSSL 3.0默认生成PKCS#8格式的私钥，这种格式更紧凑、标准化，文件体积更小（对应1679字节）

你的嵌入式设备上的mbedtls应该仅支持PKCS#1格式的私钥加载，因此出现了加载失败的情况。

验证密钥格式的方法 #

分别对两个系统生成的密钥执行以下命令：

• 查看PKCS#1格式密钥：

  openssl rsa -in myfile.key -text -noout
  

  Debian 11生成的密钥会直接输出私钥详细信息，开头显示Private-Key: (2048 bit)
• 查看PKCS#8格式密钥：
  对Debian 12生成的密钥执行上面的命令会报错，改用以下命令即可查看：

  openssl pkcs8 -in myfile.key -text -noout
  

  输出开头会显示PKCS#8 Private-Key:

解决办法 #

有两种方式可解决兼容性问题：

1. 直接生成PKCS#1格式密钥
   修改密钥生成命令，添加-traditional参数强制生成传统PKCS#1格式：

   openssl genrsa -out myfile.key 2048 -traditional
   

2. 转换现有PKCS#8密钥为PKCS#1格式
   如果已经用Debian 12生成了密钥，可通过以下命令转换格式：

   openssl rsa -in myfile_deb12.key -out myfile_pkcs1.key
   

另外补充：若嵌入式设备允许，也可升级或重新编译mbedtls以开启PKCS#8私钥支持，但这种方式在嵌入式环境操作成本较高，优先推荐修改OpenSSL生成命令或转换密钥格式。

内容的提问来源于stack exchange，提问作者Barry Andrews