使用与不使用 CA 将 PEM 证书文件和私钥转换为 PKCS12

Question

我正在尝试将 pem 证书转换为 pfx (pkcs12) 以便连接到 aws iot。

我在 cli 中使用这个命令：

openssl pkcs12 -export -out certificate.pfx -inkey privateKey.key -in certificate.crt -certfile CACert.crt

我发现无论是添加 CA 还是不添加 CA，我都可以成功连接 (AmazonRootCA1.pem)。

问题是：这在安全方面重要吗？如果我在生成 pfx 时不包含 CA，是否会降低安全性？

包含 CA 与不包含 CA 时生成的 pfx 不同。

请注意，我受到库的限制，该库在生成 pfx 时无法包含 CA 证书，因此出现了这个问题。

Answer 1

does it matter in terms of security?

没有

Is it any less secure if I don't include the CA when generating the pfx?

没有

验证证书时，检查链直到根证书。 要么父证书已经存在于执行验证的人的商店中（这意味着受信任），要么证书链附带证书（导入它或将其用作本地商店），要么使用 AIA 扩展下载按需链。当根未知时，第二个和第三个选项不会产生有效链。