如何用PyCryptodome检测RSA/DSA/ECC加密私钥类型并移除密码

我手里有大量格式如下的加密私钥：

-----BEGIN ENCRYPTED PRIVATE KEY-----
...
-----END ENCRYPTED PRIVATE KEY-----

我想用Python的PyCryptodome库移除这些密钥的密码，且已知密码，但这些密钥是RSA、DSA、ECC的混合类型，没法确定每个密钥的具体类型。有没有办法先检测密钥类型，再用对应的导入/导出流程（比如Crypto.PublicKey.RSA.import_key、Crypto.PublicKey.ECC.import_key）？

目前我用的是这种不太优雅的尝试方法：

try:
    rsa_key_decrypted = RSA.import_key(key, key_passphrase)
    decrypted_key = rsa_key_decrypted.export_key(pkcs=8).decode('ascii')
except:
    try:
        dsa_key_decrypted = DSA.import_key(key, key_passphrase)
        decrypted_key = dsa_key_decrypted.export_key().decode('ascii')
    except:
        ecc_key_decrypted = ECC.import_key(key, key_passphrase)
        decrypted_key = ecc_key_decrypted.export_key(format='PEM')

解决方案 #

方式一：优化现有try-except逻辑 #

你的基础思路可行，但可以优化得更健壮——避免使用裸except，转而捕获具体的异常类型，防止把密码错误等无关问题误判为密钥类型不匹配。PyCryptodome导入密钥失败时会抛出ValueError，可以针对性捕获：

from Crypto.PublicKey import RSA, DSA, ECC

def decrypt_private_key(encrypted_key, passphrase):
    decrypted_key = None
    # 尝试RSA密钥导入
    try:
        key = RSA.import_key(encrypted_key, passphrase)
        decrypted_key = key.export_key(pkcs=8).decode('ascii')
    except ValueError:
        # 尝试DSA密钥导入
        try:
            key = DSA.import_key(encrypted_key, passphrase)
            decrypted_key = key.export_key().decode('ascii')
        except ValueError:
            # 尝试ECC密钥导入
            try:
                key = ECC.import_key(encrypted_key, passphrase)
                decrypted_key = key.export_key(format='PEM')
            except ValueError as e:
                raise ValueError(f"无法解密密钥：{str(e)}")
    return decrypted_key

这种方式无需提前解析密钥类型，依赖PyCryptodome自身的校验逻辑，代码简洁且能覆盖三种密钥类型，同时只处理密钥导入相关的错误。

方式二：提前解析密钥类型（基于PKCS#8格式） #

你手头的加密私钥采用PKCS#8加密格式，可以先解密外层加密壳，得到未加密的PKCS#8私钥，再通过解析ASN.1结构判断密钥类型：

1. 解密外层PKCS#8加密壳，得到原始DER格式私钥：

from Crypto.IO import PKCS8

# 解密加密壳，获取未加密的PKCS#8私钥（DER格式）
der_key = PKCS8.unwrap(encrypted_key.encode('ascii'), passphrase)

2. 解析DER结构中的算法OID判断密钥类型：

from Crypto.Util.asn1 import DerSequence, DerObjectId

def get_key_type(der_key):
    pkcs8_seq = DerSequence().decode(der_key)
    # PKCS#8结构的第二个元素为算法标识符
    alg_id = DerSequence().decode(pkcs8_seq[1])
    oid = alg_id[0].value
    # 匹配不同密钥类型的OID
    if oid == '1.2.840.113549.1.1.1':  # RSA算法OID
        return 'RSA'
    elif oid == '1.2.840.10040.4.1':  # DSA算法OID
        return 'DSA'
    elif oid in ['1.2.840.10045.2.1', '1.3.132.0.10']:  # ECC相关OID
        return 'ECC'
    else:
        raise ValueError(f"未知密钥类型OID：{oid}")

3. 根据判断结果导入并导出密钥：

def decrypt_private_key_v2(encrypted_key, passphrase):
    # 解密PKCS#8加密壳
    der_key = PKCS8.unwrap(encrypted_key.encode('ascii'), passphrase)
    # 判断密钥类型
    key_type = get_key_type(der_key)
    # 导入并导出对应类型的密钥
    if key_type == 'RSA':
        key = RSA.import_key(der_key)
        return key.export_key(pkcs=8).decode('ascii')
    elif key_type == 'DSA':
        key = DSA.import_key(der_key)
        return key.export_key().decode('ascii')
    elif key_type == 'ECC':
        key = ECC.import_key(der_key)
        return key.export_key(format='PEM')

这种方式需要手动解析ASN.1结构，相对复杂，但能明确获取密钥类型，适合需要基于密钥类型做额外逻辑处理的场景。

内容的提问来源于stack exchange，提问作者Zulakis