Błąd ERRPKCS12IMPORT_UNSUPPORTED pojawia się podczas próby importu pliku PKCS#12 (.p12/.pfx) do różnych aplikacji, systemów lub urządzeń, gdy użyty format lub algorytm szyfrowania nie jest obsługiwany przez dany system lub oprogramowanie. Problem dotyka zarówno administratorów, deweloperów, jak i użytkowników końcowych. Poniżej znajdują się szczegółowe wyjaśnienia i instrukcje naprawy krok po kroku.
1. Co to jest PKCS#12 i kiedy występuje błąd?
PKCS#12 to kontener zawierający certyfikat(y) i klucz prywatny, używany do przenoszenia tożsamości cyfrowych.
Błąd ERRPKCS12IMPORT_UNSUPPORTED pojawia się zazwyczaj, gdy:
- Plik używa nieobsługiwanego algorytmu szyfrowania (np. RC2-40-CBC, 3DES, przestarzały DES) lub
- W systemie wymagane są nowsze, bezpieczniejsze algorytmy (np. AES256-SHA256), lub
- Brakuje wymaganych metadanych, takich jak „friendly name” w pliku .p12, lub
- Plik zawiera zbyt długie klucze lub zbyt wiele certyfikatów w łańcuchu, lub
- Import realizowany jest na niekompatybilnej wersji systemu lub oprogramowania.
2. Przyczyny błędu
Najczęstsze powody:
- Stare algorytmy szyfrowania (RC2, 3DES, DES): Nowe wersje OpenSSL, Windows, aplikacje FIPS lub inne systemy nie akceptują tych algorytmów.
- Plik PKCS#12 wygenerowany na starej wersji Windows lub przestarzałym narzędziu (np. Windows Server 2012 R2, DigiCert Tool).
- Brak atrybutu „friendly name” – wymagane przez niektóre systemy np. Windows, OpenVPN.
- Zbyt długi klucz publiczny lub zbyt rozbudowany łańcuch certyfikatów.
3. Instrukcja naprawy – Krok po kroku
Poniżej prezentuję kompletną procedurę przeznaczoną dla webmastera, dewelopera webowego oraz użytkownika końcowego.
Krok 1 – Analiza błędu
- Sprawdź dokładny komunikat błędu – czy wspomina o „unsupported algorithm”, „no suitable certificate found”, „public-key is invalid”, itp.
- Zidentyfikuj, czy problem dotyczy algorytmu, metadanych, długości klucza czy innego parametru.
Krok 2 – Ekstrakcja certyfikatu i klucza z wadliwego PKCS#12
Za pomocą OpenSSL z pliku .p12/.pfx wyodrębnij klucz oraz certyfikat. Przykład (przygotuj OpenSSL):
openssl pkcs12 -in stare_plik.pfx -out pkcs12.pem -nodes Podaj hasło importu, gdy zostaniesz poproszony.
Krok 3 – Utwórz nowy plik PKCS#12 z bezpiecznym algorytmem i wymaganymi danymi
Z wyodrębnionych plików (PEM):
openssl pkcs12 -export \ -in certyfikat.pem \ -inkey klucz_prywatny.pem \ -out nowy_plik.pfx \ -certfile CA_chain.pem \ -name "Friendly name" - Zamiast
certyfikat.pemiklucz_prywatny.pemwstaw własne ścieżki CA_chain.pem– łańcuch certyfikatów (opcjonalnie)-name "Friendly name"– bardzo zalecane, szczególnie dla Windows i OpenVPN
Nowy plik będzie używał domyślnie zgodnego algorytmu (AES, SHA256). Jeśli trzeba obsłużyć starsze systemy, można wymusić konkretny algorytm (patrz dokumentacja OpenSSL).
Krok 4 – Opcjonalnie – usuwanie nadmiarowych plików
Usuń pośrednie pliki PEM, jeśli nie są potrzebne (szczególnie wersje niezaszyfrowane).
Krok 5 – Ponowny import
Zaimportuj nowy plik PKCS#12 w wybranym systemie/aplikacji, np.:
- Windows – narzędzie zarządzania certyfikatami (certmgr.msc lub MMC).
- Aplikacje webowe/Fortigate/Palo Alto OpenVPN/etc – zgodnie z dokumentacją danego systemu.
Krok 6 – Rozwiązywanie specyficznych problemów
Jeśli pojawiają się błędy:
- Unsupported algorithm – Spróbuj polecenia OpenSSL z przełącznikiem
-legacy, jeśli korzystasz z OpenSSL 3:
openssl pkcs12 -in stare_pfx.pfx -out wynik.pem -legacy To pozwoli korzystać z przestarzałych algorytmów wyłącznie do migracji danych.
- Brak „friendly name” – Podczas konwersji na nowy plik PKCS#12 użyj opcji
-namei sprawdź zawartość:
openssl pkcs12 -info -in nowy_plik.pfx Potwierdź obecność „friendly name”.
- „public-key is invalid” (“node length too long”) Plik .p12 zawiera zbyt rozbudowany łańcuch – usuń nadmiarowe certyfikaty pośrednie z pliku wejściowego i wygeneruj nowy plik z krótszym łańcuchem.
4. Dodatkowe wyjaśnienia i dobre praktyki
- Zawsze używaj najnowszych, wspieranych narzędzi oraz algorytmów (AES-256, SHA256).
- Nigdy nie wysyłaj prywatnego klucza e-mailem ani nie przechowuj go w nieszyfrowanej postaci.
- Po zakończonej operacji testuj plik na docelowym systemie lub aplikacji.
FAQ – Najczęstsze pytania
Czy mogę naprawić plik bez generowania go od nowa? Nie zawsze – jeśli plik używa niedozwolonego algorytmu lub brakuje wymaganych metadanych, musisz go przekonwertować lub wygenerować ponownie.
Czy stary plik .pfx z Windows Server 2012 będzie działał na nowszych systemach? Często nie – przestarzałe algorytmy nie są wspierane od Windows Server 2016 i wyżej.
Co jeśli nie mam klucza prywatnego oddzielnie? Jeśli masz tylko plik .p12 lub .pfx, możesz z niego wyodrębnić zarówno certyfikat, jak i klucz za pomocą OpenSSL (patrz Krok 2).
Podsumowanie
ERRPKCS12IMPORT_UNSUPPORTED jest skutkiem niezgodności pliku .p12/.pfx z oczekiwaniami docelowego systemu dotyczących algorytmów, metadanych lub struktury. Naprawa polega najczęściej na konwersji pliku do zgodnego formatu dzięki OpenSSL i ponownym imporcie certyfikatu.
