PKCS#12：DerInputStream.getLength() 异常

Question

我使用 keytool 命令生成证书：

keytool -genkeypair -alias myRSAKey -keyalg RSA -keysize 1024 -keystore test.p12 -storepass test -storetype pkcs12

然后，如果我尝试使用 java security API 加载它，在将文件获取为 byte[] 后：

KeyStore ks = KeyStore.getInstance("PKCS12");
try{
   ks.load(new ByteArrayInputStream(data), "test".toCharArray())
} catch (Exception e){
   ...
}

我得到 DerInputStream.getLength(): lengthTag=127，太大的异常。

怎么了？

Answer 1

我遇到了这个问题，我已经搜索了谷歌的深处，但仍然找不到答案。经过几天与质量糟糕的遗留代码的斗争后，我找到了导致此错误的原因。

KeyStore.load(InputStream is, String pass);

这个方法接受一个I​​nputStream，如果这样的InputStream有任何问题，就会抛出这个异常，我遇到过一些问题：

• InputStream指向错误/空白/刚刚创建的文件
• InputStream已经打开或其他东西持有资源
• InputStream 已被使用并读取，因此 InputStream 的下一个字节的位置是它的末尾

最后一个是造成我的问题的原因。该代码从证书创建一个 InputStream，并继续在两个 KeyStore.load() 调用中使用它，第一个成功，第二个总是给我带来这个错误。

Answer 2

对于其他有类似问题的人：

"keystore load: DerInputStream.getLength(): lengthTag=109, too big."

对我来说，解决方案是删除参数：-storetype pkcs12
因为标准类型是 jks

Answer 3

您创建的证书可能在末尾有一个额外的字符，该字符被误解为另一个证书。
在末尾使用一个或多个空行。

参考：Java证书解析

Answer 4

我的问题（lengthTag=109，太大）是 .p12 文件实际上是 JKS 格式，而不是 PKCS # 12 格式。有人重命名了文件扩展名。通过以正确的 PKCS 格式重新生成解决了该问题。

java.io.IOException: DerInputStream.getLength(): lengthTag=109, too big.
    at sun.security.util.DerInputStream.getLength(DerInputStream.java:599)
    at sun.security.util.DerValue.init(DerValue.java:365)
    at sun.security.util.DerValue.<init>(DerValue.java:320)
    at sun.security.pkcs12.PKCS12KeyStore.engineLoad(PKCS12KeyStore.java:1914)
    at java.security.KeyStore.load(KeyStore.java:1445)

要检查安全文件的格式，可以使用 KeyStore Explorer 打开该文件。左下栏显示实际格式。

Answer 5

在代码中指定证书类型
例如：

System.setProperty("javax.net.ssl.trustStoreType", "jks");
System.setProperty("javax.net.ssl.keyStoreType", "pkcs12"); 

Answer 6

在 AndroidX 迁移并使用新的测试框架后，我在 Android Studio 中发生了这种情况。即使删除现有的 ~/.android/debug.keystore 对我来说也失败了

解决方案是手动重新生成它（接受所有问题为空并在最后一个问题上说“是”）

$ keytool -genkey -v -keystore debug.keystore -storepass android -alias androiddebugkey -keypass android -keyalg RSA -keysize 2048 -validity 10000

并复制它

$ rm ~/.android/debug.keystore
$ cp debug.keystore ~/.android/debug.keystore

Answer 7

这发生在我身上，因为我已在 Windows 10 计算机上本地复制并粘贴了 .p12 文件。不知道如何/为什么这是一个问题，但是当我克隆一个具有 .p12 文件的项目并将我的代码指向它们时，这些文件可以工作。但是，将 Windows 文件资源管理器中的文件复制并粘贴到硬盘驱动器上的其他位置会导致此错误！！！！

Answer 8

我有同样的问题。

我的解决方案是在下面的行中将 PKCS12 替换为 jceks，因为我显然使用了错误的类型。

KeyStore clientStore = KeyStore.getInstance("PKCS12");

Answer 9

你做错了什么。
我尝试了你的命令，然后加载了 p12 就好了。
以下代码有效：

 FileInputStream fin = new FileInputStream("..\\test.p12");
 KeyStore ks = KeyStore.getInstance("PKCS12");
 ks.load(fin, "123456".toCharArray());
 System.out.println(ks.getCertificate("myrsakey"));

我想知道如果您按原样输入命令，您会从 keytool 收到错误消息，密码必须至少为 6 个字符。
您没有收到该错误吗？您使用什么版本的java？
注意：如果您需要创建证书，也可以查看此工具。
http://sourceforge.net/projects/certhelper/

Answer 10

确保 inputstream 变量的范围仅限于声明它的方法，而不是静态/类变量。这样可以避免此异常。
原因：当输入流被声明为类变量时，在第一次加载证书或数据后，输入流不会关闭。因此，使其仅可用于方法。

Answer 11

这发生在我身上，因为以下命令：

openssl pkcs12 -export -in import.pem -inkey myhost.key.pem -name shared > server.p12 （来自 https://docs.oracle.com/en/database/other-databases/nosql-database/12.2.4.5/security/import-key-pair-java-keystore.html）

生成了错误的格式化的 pkcs12 文件。使用以下命令纠正了问题：

openssl pkcs12 -export -in import.pem -inkey myhost.key.pem -name shared -out server.p12

Answer 12

这个错误有多种原因......日志可能真的很混乱。

主要原因之一可能是 Maven 过滤。
根据 maven 官方文档
警告：不要过滤包含图像等二进制内容的文件！这很可能会导致输出损坏。
我们的 .jks 在打包阶段被 Maven 损坏了。

这个帖子帮助我弄清楚了。

我们可以直接在相关的 pom.xml 中从过滤中排除一些目录或文件扩展名：

       <plugin>
            <groupId>org.apache.maven.plugins</groupId>
            <artifactId>maven-resources-plugin</artifactId>
            <version>${maven-resources-plugin.version}</version>
            <configuration>
                <nonFilteredFileExtensions>
                    <nonFilteredFileExtension>jks</nonFilteredFileExtension>
                    <nonFilteredFileExtension>p12</nonFilteredFileExtension>
                </nonFilteredFileExtensions>
            </configuration>
        </plugin>