什么是 PFX 文件？

.pfx 文件格式，缩写自 Personal Information Exchange，主要用于安全地将证书、私钥以及相关的公钥证书存储在单个加密文件中。它通常在 Windows 环境中用于管理应用程序、Web 服务器和电子邮件客户端的 SSL/TLS 证书。

PFX 文件概述

  • 格式：PFX 文件基于 PKCS#12（Public Key Cryptography Standards #12）标准。
  • 内容：它们存储：
    • 私钥（解密所必需）
    • 公钥证书（验证证书持有者的身份）
    • 中级证书（用于验证证书链）
  • 加密：PFX 文件受密码保护并加密，以确保敏感信息的安全。

PFX 文件的用途

  • SSL/TLS 证书：通常，.pfx 文件用于在诸如 Microsoft IIS 的 Web 服务器上安装 SSL/TLS 证书。
  • 电子邮件加密和数字签名：像 Microsoft Outlook 这样的电子邮件客户端使用 PFX 文件进行安全的电子邮件通信。
  • 代码签名：开发者可以使用 PFX 文件对代码或软件进行签名，以确保真实性。

什么是 PKCS #12？

PKCS #12（公钥密码学标准 #12）是一种安全的容器格式，用于将加密对象（如私钥和证书）打包到单个文件中。它常用于 SSL/TLS 环境，能够安全地传输证书及其私钥，通常使用 .pfx 或 .p12 扩展名。PKCS #12 文件受密码保护并加密，提供了一种在不同平台上管理敏感信息的安全方式。该格式在 SSL/TLS 证书、代码签名和电子邮件安全方面尤为流行，因为在身份验证和加密过程中，密钥和证书的隐私性与完整性至关重要。

PFX 文件的关键特性

特性描述
文件扩展名.pfx（在功能上可与 .p12 互换）
主要变体PKCS#12 个人信息交换语法 (v1.0 / RFC 7292)，传统 Microsoft PFX 格式
格式类型受密码保护的二进制加密归档容器
主要用途传输和备份 SSL/TLS 证书及其私钥，部署代码签名证书，以及提供 S/MIME 客户端身份验证凭据
主要特性在单个受密码保护的文件中加密捆绑公共 X.509 证书、完整的中间信任链以及私有加密密钥
安全配置文件高安全性容器；需要强密码短语以防御离线字典攻击；由于嵌入了私钥，绝不能公开共享或提交到源代码管理
兼容性原生支持 Windows 证书管理器、Microsoft IIS、Exchange 和 macOS 钥匙串；通过 OpenSSL 可在 Linux 和 Unix 上完全管理

比较：PFX 与 CER

特性 / 指标PFX 文件 (.pfx)CER / CRT 文件 (.cer)
格式标准PKCS#12 加密档案X.509 标准数字证书
私钥包含是（容器内加密）否（仅存储公共证书数据）
保护机制使用对称加密（例如 AES 或 3DES）进行密码保护通常未加密；可作为纯文本或公共二进制数据访问
分发范围内部且机密： 严格保存在托管服务器上；绝不与外部方共享公开： 在握手期间自由分发给网页浏览器、客户端和依赖方
典型使用场景服务器迁移、SSL 凭证的完整备份、代码签名以及 IIS Web 服务器绑定验证身份、安装根/中间 CA 信任锚点以及令牌验证
文件编码仅二进制格式二进制（DER）或 Base64 编码的 ASCII（PEM）

虽然 .cer 文件代表您向连接的客户端公开共享的公共身份证明卡，但 .pfx 文件是完整的保险箱，包含该身份证明卡以及证明所有权所需的私钥。

如何打开 PFX 文件？

您可以通过以下方式打开或使用 PFX 文件。

  • Windows 证书管理器：您可以通过打开 证书管理器 并使用 certmgr.msc 将 PFX 文件导入 Windows。
  • 命令行：在 Windows 中，您可以使用 certutil 命令来处理 .pfx 文件。
  • 第三方工具：像 OpenSSL 这样的程序可以将 PFX 文件转换为其他格式（例如 PEM）。

转换 PFX 文件

要将 .pfx 文件转换为其他格式（如 .pem），您可以使用 OpenSSL 等工具：

openssl pkcs12 -in file.pfx -out file.pem -nodes

安全注意事项

由于 .pfx 文件包含敏感信息，请安全存储，最好使用强密码和安全的存储方案。

常见问题

问题答案
.pfx 文件的主要功能是什么？它安全地将 SSL/TLS 证书、其中间链以及相关的私钥打包到一个加密的单一文件中。
.pfx 文件在功能上是否与 .p12 文件完全相同？是的，两种扩展名都实现了 PKCS#12 标准，通常可以通过现代加密工具互换使用。
我可以安全地通过公共或未加密的渠道发送 .pfx 文件吗？不行，因为它包含您的私密私钥，泄露后可能让不法分子冒充您的域名或签署恶意代码。
如何将 .pfx 文件转换为可读取的证书和密钥文件？您可以运行 OpenSSL 命令行工具，将公钥证书和已解密的私钥提取为单独的 PEM 编码文件。
为什么在导入 .pfx 文件时 Windows 会提示输入密码？该容器使用基于密码的加密方式进行加密，以防止未授权提取嵌入的私钥。