如何从SSL证书生成私钥？CER/PKCS#7证书私钥疑问（Windows Apache）

嘿，我来帮你把这些SSL私钥相关的疑问理清楚：

1. 私钥的存在位置：仅在你的服务器/本地，绝对不会随证书提供 #

CER格式的证书只是公钥证书，里面只包含你的公钥、证书有效期、CA签名等元数据，完全没有私钥；PKCS#7（.p7b）格式的文件一般是证书链（你的域名证书+中间CA证书+根CA证书），同样也不会包含私钥。

私钥是你在申请证书前，自己在本地或者服务器上生成证书签名请求（CSR）时同步创建的——这个过程只有你能接触到私钥，证书颁发机构（CA）从不会接收、存储你的私钥，更不会把私钥和证书一起发给你。如果现在你的服务器上找不到私钥了，大概率是当初生成CSR时没备份，这种情况只能重新生成密钥对，再向CA申请新证书。

2. 能不能从已有的SSL证书（CER/PKCS#7）生成私钥？ #

直接给结论：完全不行。

公钥和私钥是配对的非对称密钥对，证书里只包含公钥，而从公钥反向推导私钥是数学上不可能的（这也是SSL加密体系的安全核心）。要是能从证书生成私钥，整个互联网的SSL安全就彻底崩盘了。

3. Windows环境下Apache服务器的私钥操作指南 #

情况一：服务器上还保留着当初的私钥 #

只需要把私钥（通常是.key格式）和你的CER证书配置到Apache的SSL配置文件里就行，典型配置如下（一般在httpd-ssl.conf里）：

SSLCertificateFile "C:/Apache/conf/ssl/yourdomain.cer"
SSLCertificateKeyFile "C:/Apache/conf/ssl/yourdomain.key"
# 如果有PKCS#7证书链，先转成PEM格式再配置：
# 用OpenSSL执行：openssl pkcs7 -print_certs -in yourdomain.p7b -out yourdomain_chain.cer
# SSLCertificateChainFile "C:/Apache/conf/ssl/yourdomain_chain.cer"

配置完重启Apache就可以生效。

情况二：私钥丢失，需要重新生成 #

你需要用OpenSSL工具（Windows可以安装Win32/Win64版本的OpenSSL）来操作：

• 第一步：生成新的RSA私钥

  openssl genrsa -out yourdomain.key 2048
  

  （2048是密钥长度，推荐用2048或更安全的4096）
• 第二步：用这个私钥生成新的CSR（证书签名请求）

  openssl req -new -key yourdomain.key -out yourdomain.csr
  

  跟着提示填写信息，注意Common Name必须和你的域名完全一致（比如www.yourdomain.com）
• 第三步：把新的CSR提交给CA，申请新的CER格式证书
• 第四步：拿到新证书后，按照上面的Apache配置步骤完成设置，重启服务即可

内容的提问来源于stack exchange，提问作者Divyanxi Mistry