解读tpm-tools的tpm_getpubek输出及Java转换PublicKey报错问题

你的问题出在tpm_getpubek输出的公钥是原始RSA模的十六进制，而非X509标准的DER编码格式，直接用X509EncodedKeySpec解析自然会报错。下面是具体的解决思路和代码：

问题根源 #

tpm_getpubek输出的Public Key字段是RSA公钥的**模（n）**的十六进制表示，默认情况下TPM的RSA公钥指数（e）是固定的65537（即0x10001）。而X509EncodedKeySpec要求的是包含算法标识、模和指数的完整DER编码结构，直接解析原始模字节不符合这个规范。

解决方案：手动构造RSAPublicKeySpec #

我们可以通过原始模和默认指数构造RSAPublicKeySpec，再生成PublicKey对象，步骤如下：

1. 清理tpm_getpubek的输出：去掉公钥字符串中的空格，得到纯十六进制文本；
2. 将十六进制文本转为字节数组；
3. 用该字节数组创建表示模的BigInteger（注意模是正数，需指定符号位确保解析正确）；
4. 用默认指数65537创建BigInteger；
5. 构造RSAPublicKeySpec并生成PublicKey。

完整代码示例 #

import java.security.KeyFactory;
import java.security.PublicKey;
import java.security.spec.RSAPublicKeySpec;
import java.math.BigInteger;
import javax.xml.bind.DatatypeConverter;

public class TpmPubKeyConverter {
    public static void main(String[] args) throws Exception {
        // 从tpm_getpubek复制的公钥，先去掉所有空格
        String rawPubKeyHex = "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";
        
        // 转换为字节数组
        byte[] modulusBytes = DatatypeConverter.parseHexBinary(rawPubKeyHex);
        BigInteger modulus = new BigInteger(1, modulusBytes); // 1表示正数，避免最高位为1时被解析为负数
        BigInteger publicExponent = BigInteger.valueOf(65537); // TPM默认RSA指数
        
        // 构造RSA公钥规范并生成PublicKey
        RSAPublicKeySpec rsaPubSpec = new RSAPublicKeySpec(modulus, publicExponent);
        KeyFactory keyFactory = KeyFactory.getInstance("RSA");
        PublicKey publicKey = keyFactory.generatePublic(rsaPubSpec);
        
        // 验证结果
        System.out.println("成功生成公钥：" + publicKey.getAlgorithm() + " " + publicKey.getFormat());
    }
}

额外说明 #

• 如果你的TPM使用了非默认的公钥指数，可以通过TPM相关工具查询，但绝大多数情况下TPM RSA公钥的指数都是65537；
• 如果你需要将生成的PublicKey转换为X509 DER格式以便后续存储或传输，可以使用publicKey.getEncoded()获取对应的字节数组。

内容的提问来源于stack exchange，提问作者Water