使用OpenSSL库读取EC私钥文件报错：ASN1标签错误

算力阿峰

2026-8-15

问题描述

尝试读取私钥用于后续数据签名操作，读取RSA私钥文件（有效）无错误，但读取EC私钥文件（无效）时提示密钥无效，错误信息为：error:0D0680A8:asn1 encoding routines:ASN1_CHECK_TLEN:wrong tag。本人是OpenSSL新手。

有效密钥文件

无效密钥文件

我的代码

var
  bp: PBIO;
  PrivKeyFile, FCertPassword : AnsiString;
begin
  Result := False;
  PrivKeyFile := 'private.pem'; 
  FCertPassword := '123456789';
  bp := BIO_new_file(PAnsiChar(PrivKeyFile), 'r');
  if CheckError() then Exit;
  try
      FPrivateKeyData := PEM_read_bio_PrivateKey(bp, nil, nil, PAnsiChar(FCertPassword));
      if CheckError() then Exit;
 finally
      BIO_free(bp);
  end;
end;

错误信息

error:0D0680A8:asn1 encoding routines:ASN1_CHECK_TLEN:wrong tag

问题分析与解决方法

问题根源：该错误说明EC私钥文件的ASN.1编码存在问题，从给出的无效密钥内容来看，文件明显被截断，内容不完整，导致OpenSSL无法正确解析ASN.1结构。
解决步骤：
1. 重新生成完整的EC私钥文件，使用OpenSSL命令：openssl ecparam -name prime256v1 -genkey -noout -out ec_private.pem，如果需要加密密钥，可添加-aes-128-cbc参数，生成时会提示设置密码。
2. 检查现有EC私钥文件是否因传输、存储等原因被意外截断，确保从-----BEGIN EC PRIVATE KEY-----到-----END EC PRIVATE KEY-----之间的所有内容完整无缺。
3. 代码层面无需修改，PEM_read_bio_PrivateKey是OpenSSL的通用私钥读取函数，支持RSA和EC私钥，只要密钥文件有效就能正常读取。

内容的提问来源于stack exchange，提问作者Ehab