OpenSSL não pode converter PKCS12 exportado do Cisco ASA 55xx

Question

Eu exportei um certificado + chave existente de um ASA 5510:

asa5510(config)# crypto ca export MYTRUSTSTORE pkcs12 MYPASSWORD

Salvei a saída em um arquivo (vpn-cisco.pkcs12) e agora estou tentando extrair o certificado e a chave em arquivos separados da seguinte forma:

openssl pkcs12 -in cisco-vpn.pkcs12 -nocerts -out privateKey.pem

O erro que recebo:

139708630054816:error:0D0680A8:asn1 encoding routines:ASN1_CHECK_TLEN:wrong tag:tasn_dec.c:1319:
139708630054816:error:0D07803A:asn1 encoding routines:ASN1_ITEM_EX_D2I:nested asn1 error:tasn_dec.c:381:Type=PKCS12

Mesmo erro se eu executar openssl pkcs12 -info ... ou qualquer outro comando.

Eu tentei exportar o arquivo novamente e comparar usando ASDM em vez da CLI, mas o arquivo é exatamente o mesmo.

Pesquisando o erro, apenas diz que a codificação do arquivo pode estar de alguma forma desativada, mas não há detalhes específicos.

    

Answer 1

Isso é estranho. Eu tenho o mesmo problema e encontrei esta pergunta para não ter resposta. Fiz então mais pesquisas e encontrei uma postagem yaleman.org diz que encontrou a resposta e ligou a esta mesma questão . No entanto, não houve resposta aqui. Corrigindo retroativamente isso, adereços completos para yaleman.

longo e curto: Você precisa converter o pfx de Base64 para o formato binário do openssl.

$ openssl enc -base64 -d -in certfile.pfx -out converted.pfx

Depois, você pode convertê-lo em um PEM e obter a chave ou o certificado separadamente.

$ openssl pkcs12 -in converted.pfx -out bundle.pem -clcerts -nodes