Abgleich von privatem Schlüssel und Zertifikat

Ja. Diese Meldung und Apaches „Unable to configure RSA server private key“ bedeuten beide, dass der Server ein Zertifikat und einen Schlüssel mit unterschiedlichen öffentlichen Schlüsseln geladen hat. Dieses Werkzeug zeigt Ihnen vor dem Neustart, welches Paar falsch ist — und ob die beiden Dateien überhaupt denselben Algorithmus verwenden.

Das klassische Rezept führt openssl rsa -modulus und openssl x509 -modulus aus und vergleicht deren MD5. Das funktioniert, aber nur bei RSA: Bei einem EC-Schlüssel gibt openssl kein Modul aus, zwei leere Zeichenketten haben denselben Hash — und die Prüfung wirkt für jedes beliebige Paar bestanden. Der Vergleich der vollständigen SubjectPublicKeyInfo hat diesen blinden Fleck nicht.

Ja, in allen drei üblichen Formen: modernes verschlüsseltes PKCS#8, das alte OpenSSL-PEM mit „Proc-Type: 4,ENCRYPTED“ sowie .pfx-/.p12-Bündel — einschließlich alter Windows-Exporte mit RC2-40, die browserbasierte Werkzeuge normalerweise überhaupt nicht lesen.

Eines von beiden stammt aus einer anderen Ausstellung. Üblich ist eine Erneuerung, bei der ein neuer Schlüssel erzeugt wurde, während das alte Zertifikat noch ausgeliefert wird — oder umgekehrt. Haben Sie den an die CA geschickten CSR noch, vergleichen Sie den Schlüssel damit: Passt es, gehört das erhaltene Zertifikat zu einer anderen Anforderung und Sie brauchen die richtige Datei von Ihrer CA. Passt es nicht, wurde der Schlüssel ersetzt und das Zertifikat muss aus dem vorhandenen Schlüssel neu ausgestellt werden.