为何openssl asn1parse可解析DER文件但x509等命令报错？

• openssl asn1parse的本质：这个命令仅做ASN.1语法层面的解析验证，只要文件的DER编码格式符合ASN.1基本规则，它就能输出结构内容，但完全不关心该结构是否匹配某个特定加密标准（比如X.509证书、PKCS#7容器的规范）。打个比方，它就像能打开任何文本文件的记事本，而x509/pkcs7这类工具则是只能识别特定格式的专业编辑器。

• x509/pkcs7/pkcs8命令的严格要求：这些工具是针对特定加密标准格式设计的，输入文件必须严格匹配对应标准定义的ASN.1结构：

  • openssl x509仅识别符合ITU-T X.509标准的证书结构，顶层必须是包含tbsCertificate、signatureAlgorithm、signatureValue的SEQUENCE；
  • openssl pkcs7只处理PKCS#7标准定义的ContentInfo结构（比如签名数据、信封数据）；
  • openssl pkcs8仅支持PKCS#8规范的私钥结构（PrivateKeyInfo或EncryptedPrivateKeyInfo）。

• 如何确认文件实际结构：查看openssl asn1parse的输出，重点关注顶层字段和OID（对象标识符）：

  • 如果顶层OID是1.2.840.113549.1.1.1且为私钥结构，那可能是PKCS#1格式私钥，需用openssl rsa -inform der -in bst.der读取；
  • 如果OID是1.3.6.1.5.5.7.48.1.1，则是OCSP响应，要用openssl ocsp -respin bst.der解析；
  • 如果OID是1.2.840.113549.1.9.24，则是证书吊销列表（CRL），需用openssl crl -inform der -in bst.der读取。

简言之：你的文件是合法的ASN.1编码，但并非x509/pkcs7/pkcs8命令所期望的特定标准结构，因此这些工具无法识别加载。

内容的提问来源于stack exchange，提问作者geckels1