直接回答：PEM 是文本格式、最通用，CRT 通常就是 PEM 的证书部分，JKS 是 Java 专用的密钥库，PFX/P12 是把证书和私钥打包在一起的二进制格式，转换统一用 openssl。

一.SSl证书格式简介

    (1)常见的格式有: PEM、JKS、CRT、PFX 等。
		PEM － 它是 openssl 默认采用的信息存放方式。Openssl 中的 PEM 文件
		JKS － keytool工具生成的的文件转换成的JKS格式证书。JKS证书主要用于java级系统应用如tomcat等.
		CRT － 证书文件。可以是PEM格式。
		PFX 或 P12 – 公钥加密标准 #12 (PKCS#12) 可包含所有私钥、公钥和证书。其以二进制格式存储，也称为 PFX 文件

证书格式介绍

PKCS 全称是 Public-Key Cryptography Standards ，是由 RSA 实验室与其它安全系统开发商为促进公钥密码的发展而制订的一系列标准，PKCS 目前共发布过 15 个标准。 常用的有：
1.PKCS#7 Cryptographic Message Syntax Standard
2.PKCS#10 Certification Request Standard
3.PKCS#12 Personal Information Exchange Syntax Standard

X.509是常见通用的证书格式。所有的证书都符合为Public Key Infrastructure (PKI) 制定的 ITU-T X509 国际标准。
1.PKCS#7常用的后缀是： .P7B .P7C .SPC
2.PKCS#12常用的后缀有： .P12 .PFX
3.X.509 DER编码(ASCII)的后缀是： .DER .CER .CRT
4.X.509 PAM编码(Base64)的后缀是： .PEM .CER .CRT
5..cer/.crt是用于存放证书，它是2进制形式存放的，不含私钥。
6..pem跟crt/cer的区别是它以Ascii来表示。
7.pfx/p12用于存放个人证书/私钥，他通常包含保护密码，2进制方式
8.p10是证书请求
9.p7r是CA对证书请求的回复，只用于导入
10.p7b以树状展示证书链(certificate chain)，同时也支持单个证书，不含私钥。

关于加密后缀区别

证书(Certificate) – ***.cer** ***.crt**
私钥(Private Key) – ***.key**
证书签名请求(Certificate signing request) – ***.csr**
编码方式: 1. pem - base64编码 2. der - 二进制编码(少见), cer,key,csr 均可用这两种编码方式
证书吊销列表(Certificate Revocation List) – ***.crl**

jks（javakeystone）-- 是JAVA的keytools证书工具支持的证书私钥格式，javakeystone 里面存放着key和信任的CA，key和CA可以有多个

名词	含义
X.509	一种通用的证书格式,包含证书持有人的公钥,加密算法等信息
pkcs1~pkcs12	公钥加密(非对称加密)对一种标准(Public Key Cryptography Standards),一般存储为`.PN`, `.p12`是包含证书和密钥的封装格式
*.der	证书的二进制存储格式(不常用)
*.pem	证书或密钥的Base64文本存储格式,可以单独存放证书或密钥,也可以同时存放证书或密钥
*.key	单独存放的pem格式的密钥,一般保存为`*.key`
.cer .crt	两个指的都是证书,Linux下叫crt,Windows下叫cer.存储格式可以是`pem`,也可以是`der`
*.csr	证书签名请求(Certificate signing request),包含证书持有人的信息,如:国家,邮件,域名等信息
*.pfx	微软的IIS的实现
*.jks	java的keytool实现的证书格式

证书的格式可以互相转换,openssl先生成私钥,然后再生成证书签名请求,最后通过私钥和证书签名请求生成公钥

创建证书签名请求(Certificate signing request)和私钥(Primary key):

1	openssl req -newkey rsa:2048 -nodes -out test.csr -keyout test.key

创建公钥(Public key)

1	openssl x509 -req -days 365 -in test.csr -signkey test.key -out test.crt

自签名证书

当我们需要在企业内部或者测试环境中使用证书时，往往需要创建自签名证书。Linux系统中的Openssl工具可以用来生成自签名证书，实现通信的加密，也可以基于自签名的CA证书模拟实际CA信任链的工作过程。本文基于Openssl介绍自签名证书的生成和应用实践。

自签名证书分为自签名私有证书和自签名CA证书两种。自签名私有证书无法被吊销，自签名CA证书可以被吊销。能不能吊销证书的区别在于如果私钥不小心被恶意获取，如果证书不能被吊销那么黑客很有可能伪装成受信任的客户端与用户进行通信。如果你的规划需要创建多个客户端证书，那么使用自建 CA 签名证书的方法比较合适，只要给所有的客户端都安装了 CA 根证书，那么以该 CA 根证书签名过的客户端证书都是信任的，不需要重复的安装客户端证书。

请注意由于是自建 CA 证书，在使用这个临时证书的时候，会在客户端浏览器报一个错误，签名证书授权未知或不可（signing certificate authority is unknown and not trusted.），但只要配置正确，继续操作并不会影响正常通信。自签名证书的 Issuer 和 Subject 是一样的。下面就分别阐述如何使用 OpenSSL 生成这两种自签名证书。

生成自签名私有证书

生成证书私钥(Key)

1 2	#生成私钥 openssl genrsa -out /path/to/keyfile 2048

如果需要备份或者转移私钥，需要先对私钥进行加密

1 2	#私钥加密，用于备份或者转移私钥 openssl rsa -in /path/to/keyfile -des3 -out /path/to/encrypted.key

生成证书请求文件（Certificate Sign Request）

生成 CSR 的过程中，会提示输入一些信息，包括：序列号、公钥、用户名称、签发者、CA签名和其他一些附属信息等。证书验证过程就是依赖于这信息和公钥对应的私钥进行。其中一个提示是 Common Name (e.g. YOUR name)，这个非常重要，这一项应填入 FQDN(Fully Qualified Domain Name)完全合格域名/全称域名，如果您使用 SSL 加密保护网络服务器和客户端之间的数据流，举例被保护的网站是 https://test.example.cn，那么此处 Common Name 应输入 test.example.cn

1 2	#生成证书请求文件(Certificate sign request) openssl req -new -key /path/to/keyfile -out /path/to/csrfile

使用上一步的证书签名请求签发证书（Certificate）

1 2	#自签名，生成私有证书 openssl x509 -req -in /path/to/ssl.csr -signkey /path/to/ssl.key -out /path/to/ssl.crt

查看证书信息

1 2	#查看证书信息 openssl x509 -in /path/to/certfile -noout -text

上面的1-4步也可以通过命令行合并为一步实现

1	openssl req -new -x509 -newkey rsa:2048 -keyout /path/to/server.key -out /path/to/server.crt

生成自签名CA证书

创建自签 CA 证书，主要分为两个部分：创建CA 根证书及签发客户端证书。

创建CA根证书

使用 OpenSSL 可以创建自己的 CA，给需要验证的用户或服务器颁发证书，这就需要创建一个 CA 根证书。默认情况ubuntu和CentOS上都已安装好openssl。CentOS 6.x 上有关ssl证书的目录结构。

/etc/pki/CA/
            newcerts    存放CA签署（颁发）过的数字证书（证书备份目录）
            private     用于存放CA的私钥
            crl         吊销的证书

/etc/pki/tls/
             cert.pem    软链接到certs/ca-bundle.crt
             certs/      该服务器上的证书存放目录，可以房子自己的证书和内置证书
                   ca-bundle.crt    内置信任的证书
             private    证书密钥存放目录
             openssl.cnf    openssl的CA主配置文件

在创建 CA 根证书之前，需要做好如下准备工作：修改好 CA 的配置文件、序列号、索引等等。

1 2	touch index.txt serial echo 01 >> serial

openssl的配置文件为openssl.cnf,一般存储在/etc/pki/tls/目录下。一定要注意配置文件中 [ policy_match ]标签下设定的匹配规则。有可能因为证书使用的工具不一样，导致即使设置了csr中看起来有相同的countryName,stateOrProvinceName等，但在最终生成证书时依然报错。一般情况下，配置文件不需要改动。

生成根证书密钥

1
2
3

# 生成CA根证书密钥
cd /etc/pki/CA/
openssl genrsa -out ./private/ca.key 2048

生成根证书请求

1 2	# 新建根证书请求 openssl req -new -in /path/to/ca.key -out ca.csr

生成根证书

1 2	#自签名，生成CA证书 openssl x509 -req -in /path/to/ca.csr -signkey /path/to/ca.key -extensions v3_ca -out /path/to/ca.crt

签发证书

我们可以用CA根证书签发证书，也可以创建中间CA，使用中间CA签发证书。创建中间CA的好处是即使中间CA的私钥泄露，造成的影响也是可控的，我们只需要使用root CA撤销对应中间CA的证书即可。此外root CA的私钥可以脱机妥善保存，只需要在撤销和更新中间CA证书时才会使用。基于根证书创建中间CA与创建根证书过程类似。我们新建一个目录用于保存中间证书信息。

#准备环境
mkdir /etc/pki/CA/intermediate
cd /etc/pki/CA/intermediate
mkdir certs crl newcerts private
chmod 700 private
touch index.txt
echo 1000 > serial

#生成密钥
cd /etc/pki/CA
openssl genrsa -aes256 -out intermediate/private/ca.key 2048
#新建请求
openssl req -config intermediate_CA.cnf -sha256 -new -key intermediate/private/ca.key -out intermediate/certs/ca.csr
#签发中间CA证书
openssl ca -config root_CA.cnf -extensions v3_ca -notext -md sha256 -in intermediate/certs/ca.csr -out intermediate/certs/ca.cert

利用根证书或者中间证书签发客户端证书的步骤如下：

新建证书密钥

1 2	#新建密钥 openssl genrsa -out /path/to/server.key 2048

新建证书请求

1 2	#新建证书请求 openssl req -new -in /path/to/server.key -out /path/to/server.csr

CA签发证书

1 2	#证书CA签名 openssl x509 -req -in /path/to/server.csr -CA /path/to/ca.crt -CAkey /path/to/ca.key -CAcreateserial -out /path/to/server.crt

CA证书的有效性验证

#验证证书
openssl verify -CAfile /path/to/ca.crt /path/to/server.crt

#如果结果显示OK，说明我们颁发的证书是有效的。

不同客户端证书格式转换

#crt,pem格式证书可用于linux/nginx/node.js格式客户端
#p12(pkcs12)格式证书用于tomcat/java/android客户端
#打包为p12证书
openssl pkcs12 -export -in /path/to/server.crt -inkey /path/to/server.key -out /path/to/server.p12

吊销证书

当证书已经不再使用或者密钥泄露时，我们需要吊销证书来保证服务器的安全。

#获取要吊销的证书的serial
openssl x509 -in /path/to/x.crt -noout -serial -subject

#对比serial与subject 信息是否与index.txt中的信息一致
#如果一致，则可以吊销证书
openssl ca -revoke /etc/pki/CA/newcerts/SERIAL.pem

#如果是第一次吊销证书，需要指定吊销的证书编号
echo 01 >/etc/pki/CA/crlnumber

#更新吊销证书列表
openssl ca -gencrl -out /etc/pki/CA/crl.pem

#完成后，可查看吊销的证书列表
openssl crl -in /etc/pki/CA/crl.pem -noout -text

这篇笔记整理自我自己的实践记录，如果做法有出入，或者你踩过别的坑，欢迎到留言板一起聊聊。

SSL 证书格式：PEM、JKS、CRT、PFX 有什么区别