如何使用OpenSSL从DER证书文件中提取私钥？

核心前提说明 #

常规的X.509 DER编码证书仅包含公钥、主体信息、CA签名等公开内容，本身不存储私钥，这是绝大多数提取失败的根本原因。只有当你的DER文件是DER编码的PKCS#12（.p12/.pfx）容器时，才会同时存储证书和对应的私钥。

第一步：确认文件类型 #

运行以下命令解析DER文件结构，判断是否包含私钥：
openssl asn1parse -inform DER -in 你的文件路径.der
如果输出结果中没有pkcs8ShroudedKeyBag、keyBag等私钥相关标识，说明文件本身不含私钥，无法从中提取到私钥，需要查找单独存储的私钥文件。

第二步：DER编码PKCS#12容器提取私钥步骤 #

如果确认文件是带私钥的PKCS#12 DER容器，按以下步骤操作：

• 先将DER格式的PKCS#12容器转为PEM格式临时文件：
  openssl pkcs12 -inform DER -in 你的文件路径.der -out temp_pkcs12.pem
  操作时需要输入PKCS#12容器的正确加密密码。
• 从临时PEM文件中提取加密私钥：
  openssl pkcs12 -in temp_pkcs12.pem -nocerts -out 输出私钥路径.pem
• 如果需要提取无加密的明文私钥，添加-nodes参数即可：
  openssl pkcs12 -in temp_pkcs12.pem -nocerts -nodes -out 输出明文私钥路径.pem

其他常见场景处理 #

如果你持有的是单独的DER格式私钥文件（通常后缀为.key、.p8），使用对应密钥类型的命令直接转换即可：

• RSA私钥转换：openssl rsa -inform DER -in 私钥文件路径.der -out 输出pem格式私钥路径.pem
• EC（椭圆曲线）私钥转换：openssl ec -inform DER -in 私钥文件路径.der -out 输出pem格式私钥路径.pem

内容的提问来源于stack exchange，提问作者Turgut Kalfaoglu