Error al importar el certificado SSL: no es un certificado X.509

Estoy tratando de actualizar el certificado SSL de acuerdo con esta publicación
.

Soy novato en certificados, así que seguí esta guía. Pero, cuando entro

keytool -keystore mycacerts -storepass changeit -importcert -file "C:\Users\Noks\Desktop\cacerts.pem" -v

me sale el error:

keytool error: java.lang.Exception: Input not an X.509 certificate
java.lang.Exception: Input not an X.509 certificate
        at sun.security.tools.KeyTool.addTrustedCert(KeyTool.java:1913)
        at sun.security.tools.KeyTool.doCommands(KeyTool.java:818)
        at sun.security.tools.KeyTool.run(KeyTool.java:172)
        at sun.security.tools.KeyTool.main(KeyTool.java:166)

¿Cómo puedo solucionar esto?

¿Su archivo cacerts.pem tiene un solo certificado? Ya que es un PEM, míralo (con un editor de texto), debería comenzar con

-----BEGIN CERTIFICATE-----

y terminar con

-----END CERTIFICATE-----

Finalmente, para comprobar que no está corrupto, hazte con openssl e imprime sus detalles usando

openssl x509 -in cacerts.pem -text

Muchas CA proporcionarán un certificado en formato PKCS7.

De acuerdo a Documentación de Oracleel comando keytool puede manejar PKCS#7 pero a veces falla

El comando keytool puede importar certificados X.509 v1, v2 y v3, y cadenas de certificados con formato PKCS#7 que consisten en certificados de ese tipo. Los datos que se van a importar deben proporcionarse en formato de codificación binaria o en formato de codificación imprimible (también conocido como codificación Base64) según lo define el estándar Internet RFC 1421. En este último caso, la codificación debe estar delimitada al principio por una cadena que comience con —–BEGIN y al final por una cadena que comience con —–END.

Si el archivo PKCS7 no se puede importar, intente transformarlo de PKCS7 a X.509:

openssl pkcs7 -print_certs -in certificate.p7b -out certificate.cer

Esto parece un hilo viejo, pero agregaré mi experiencia aquí. También intenté instalar un certificado y obtuve ese error. Luego abrí el archivo cer con un editor de texto y noté que hay un espacio adicional (carácter) al final de cada línea. Eliminar esas líneas me permitió importar el certificado.

Espero que esto valga algo para alguien más.

Como muestran las otras respuestas a esta pregunta, hay muchas causas posibles para este mensaje de error. La razón por la que te está pasando a ti puede ser totalmente diferente a la razón por la que me está pasando a mí. Y, desafortunadamente, el mensaje de error no señala en absoluto la fuente real del problema, por lo que es completamente inútil en la resolución de problemas. De hecho, es completamente engañoso.

Entonces, en lugar de brindarle una más de la miríada de posibles causas de este mensaje de error, lo que haré será mostrarle cómo solucionar este problema para descubrir qué lo está causando en su situación particular.

En el trabajo, comúnmente usamos los siguientes dos comandos para permitir que algún software se comunique con varios servidores, por ejemplo, para permitir que IntelliJ IDEA se comunique con nuestros repositorios maven internos:

[Elevated]keytool 
    -printcert -rfc -sslserver maven.services.{our-company}.com:443 > public.crt

[Elevated]keytool
    -import -storepass changeit -noprompt -trustcacerts -alias services.{our-company}.com 
    -keystore lib\security\cacerts -file public.crt

Ahora, lo que a veces sucede es que el keytool -printcert El comando no puede hacer su trabajo, ya sea debido a una configuración incorrecta o simplemente a problemas de conectividad temporales, como el firewall que lo impide, el usuario olvidó iniciar su VPN, lo que sea. Es un hecho de la vida que esto puede suceder. Este no es realmente el problema.

El problema es que cuando la estúpida herramienta encuentra tal error, no emite el mensaje de error al dispositivo de error estándar, ¡lo emite al dispositivo de salida estándar!

Así que esto es lo que termina sucediendo:

• Cuando ejecuta el primer comando, no ve ningún mensaje de error, por lo que no tiene idea de que falló. Sin embargo, en lugar de una llave, el public.crt el archivo ahora contiene un mensaje de error que dice keytool error: java.lang.Exception: No certificate from the SSL server.
• Cuando ejecuta el segundo comando, se lee public.crt y encuentra el texto del mensaje de error en lugar de una clave en él, por lo que falla, diciendo keytool error: java.lang.Exception: Input not an X.509 certificate.

La conclusión es: después keytool -printcert ... > public.crt volcar siempre el contenido de public.crt para asegurarse de que en realidad es una clave y no un mensaje de error antes de proceder a ejecutar keytool -import ... -file public.crt

Cambié 3 cosas y luego funciona:

1. Hay una columna de espacios, los eliminé.
2. Cambió el salto de línea de Windows CRLF a Linux LF
3. Se eliminó la línea vacía al final.

Tuve que eliminar espacios antes de la nueva línea después -----BEGIN CERTIFICATE-----.