secure/usr.bin/openssl/man/pkcs12.1

   1 .rn '' }`
   2 ''' $RCSfile$$Revision$$Date$
   3 '''
   4 ''' $Log$
   5 '''
   6 .de Sh
   7 .br
   8 .if t .Sp
   9 .ne 5
  10 .PP
  11 \fB\\$1\fR
  12 .PP
  13 ..
  14 .de Sp
  15 .if t .sp .5v
  16 .if n .sp
  17 ..
  18 .de Ip
  19 .br
  20 .ie \\n(.$>=3 .ne \\$3
  21 .el .ne 3
  22 .IP "\\$1" \\$2
  23 ..
  24 .de Vb
  25 .ft CW
  26 .nf
  27 .ne \\$1
  28 ..
  29 .de Ve
  30 .ft R
  31
  32 .fi
  33 ..
  34 '''
  35 '''
  36 '''     Set up \*(-- to give an unbreakable dash;
  37 '''     string Tr holds user defined translation string.
  38 '''     Bell System Logo is used as a dummy character.
  39 '''
  40 .tr \(*W-|\(bv\*(Tr
  41 .ie n \{\
  42 .ds -- \(*W-
  43 .ds PI pi
  44 .if (\n(.H=4u)&(1m=24u) .ds -- \(*W\h'-12u'\(*W\h'-12u'-\" diablo 10 pitch
  45 .if (\n(.H=4u)&(1m=20u) .ds -- \(*W\h'-12u'\(*W\h'-8u'-\" diablo 12 pitch
  46 .ds L" ""
  47 .ds R" ""
  48 '''   \*(M", \*(S", \*(N" and \*(T" are the equivalent of
  49 '''   \*(L" and \*(R", except that they are used on ".xx" lines,
  50 '''   such as .IP and .SH, which do another additional levels of
  51 '''   double-quote interpretation
  52 .ds M" """
  53 .ds S" """
  54 .ds N" """""
  55 .ds T" """""
  56 .ds L' '
  57 .ds R' '
  58 .ds M' '
  59 .ds S' '
  60 .ds N' '
  61 .ds T' '
  62 'br\}
  63 .el\{\
  64 .ds -- \(em\|
  65 .tr \*(Tr
  66 .ds L" ``
  67 .ds R" ''
  68 .ds M" ``
  69 .ds S" ''
  70 .ds N" ``
  71 .ds T" ''
  72 .ds L' `
  73 .ds R' '
  74 .ds M' `
  75 .ds S' '
  76 .ds N' `
  77 .ds T' '
  78 .ds PI \(*p
  79 'br\}
  80 .\"     If the F register is turned on, we'll generate
  81 .\"     index entries out stderr for the following things:
  82 .\"             TH      Title
  83 .\"             SH      Header
  84 .\"             Sh      Subsection
  85 .\"             Ip      Item
  86 .\"             X<>     Xref  (embedded
  87 .\"     Of course, you have to process the output yourself
  88 .\"     in some meaninful fashion.
  89 .if \nF \{
  90 .de IX
  91 .tm Index:\\$1\t\\n%\t"\\$2"
  92 ..
  93 .nr % 0
  94 .rr F
  95 .\}
  96 .TH PKCS12 1 "0.9.7d" "2/Sep/2004" "OpenSSL"
  97 .UC
  98 .if n .hy 0
  99 .if n .na
 100 .ds C+ C\v'-.1v'\h'-1p'\s-2+\h'-1p'+\s0\v'.1v'\h'-1p'
 101 .de CQ          \" put $1 in typewriter font
 102 .ft CW
 103 'if n "\c
 104 'if t \\&\\$1\c
 105 'if n \\&\\$1\c
 106 'if n \&"
 107 \\&\\$2 \\$3 \\$4 \\$5 \\$6 \\$7
 108 '.ft R
 109 ..
 110 .\" @(#)ms.acc 1.5 88/02/08 SMI; from UCB 4.2
 111 .       \" AM - accent mark definitions
 112 .bd B 3
 113 .       \" fudge factors for nroff and troff
 114 .if n \{\
 115 .       ds #H 0
 116 .       ds #V .8m
 117 .       ds #F .3m
 118 .       ds #[ \f1
 119 .       ds #] \fP
 120 .\}
 121 .if t \{\
 122 .       ds #H ((1u-(\\\\n(.fu%2u))*.13m)
 123 .       ds #V .6m
 124 .       ds #F 0
 125 .       ds #[ \&
 126 .       ds #] \&
 127 .\}
 128 .       \" simple accents for nroff and troff
 129 .if n \{\
 130 .       ds ' \&
 131 .       ds ` \&
 132 .       ds ^ \&
 133 .       ds , \&
 134 .       ds ~ ~
 135 .       ds ? ?
 136 .       ds ! !
 137 .       ds /
 138 .       ds q
 139 .\}
 140 .if t \{\
 141 .       ds ' \\k:\h'-(\\n(.wu*8/10-\*(#H)'\'\h"|\\n:u"
 142 .       ds ` \\k:\h'-(\\n(.wu*8/10-\*(#H)'\`\h'|\\n:u'
 143 .       ds ^ \\k:\h'-(\\n(.wu*10/11-\*(#H)'^\h'|\\n:u'
 144 .       ds , \\k:\h'-(\\n(.wu*8/10)',\h'|\\n:u'
 145 .       ds ~ \\k:\h'-(\\n(.wu-\*(#H-.1m)'~\h'|\\n:u'
 146 .       ds ? \s-2c\h'-\w'c'u*7/10'\u\h'\*(#H'\zi\d\s+2\h'\w'c'u*8/10'
 147 .       ds ! \s-2\(or\s+2\h'-\w'\(or'u'\v'-.8m'.\v'.8m'
 148 .       ds / \\k:\h'-(\\n(.wu*8/10-\*(#H)'\z\(sl\h'|\\n:u'
 149 .       ds q o\h'-\w'o'u*8/10'\s-4\v'.4m'\z\(*i\v'-.4m'\s+4\h'\w'o'u*8/10'
 150 .\}
 151 .       \" troff and (daisy-wheel) nroff accents
 152 .ds : \\k:\h'-(\\n(.wu*8/10-\*(#H+.1m+\*(#F)'\v'-\*(#V'\z.\h'.2m+\*(#F'.\h'|\\n:u'\v'\*(#V'
 153 .ds 8 \h'\*(#H'\(*b\h'-\*(#H'
 154 .ds v \\k:\h'-(\\n(.wu*9/10-\*(#H)'\v'-\*(#V'\*(#[\s-4v\s0\v'\*(#V'\h'|\\n:u'\*(#]
 155 .ds _ \\k:\h'-(\\n(.wu*9/10-\*(#H+(\*(#F*2/3))'\v'-.4m'\z\(hy\v'.4m'\h'|\\n:u'
 156 .ds . \\k:\h'-(\\n(.wu*8/10)'\v'\*(#V*4/10'\z.\v'-\*(#V*4/10'\h'|\\n:u'
 157 .ds 3 \*(#[\v'.2m'\s-2\&3\s0\v'-.2m'\*(#]
 158 .ds o \\k:\h'-(\\n(.wu+\w'\(de'u-\*(#H)/2u'\v'-.3n'\*(#[\z\(de\v'.3n'\h'|\\n:u'\*(#]
 159 .ds d- \h'\*(#H'\(pd\h'-\w'~'u'\v'-.25m'\f2\(hy\fP\v'.25m'\h'-\*(#H'
 160 .ds D- D\\k:\h'-\w'D'u'\v'-.11m'\z\(hy\v'.11m'\h'|\\n:u'
 161 .ds th \*(#[\v'.3m'\s+1I\s-1\v'-.3m'\h'-(\w'I'u*2/3)'\s-1o\s+1\*(#]
 162 .ds Th \*(#[\s+2I\s-2\h'-\w'I'u*3/5'\v'-.3m'o\v'.3m'\*(#]
 163 .ds ae a\h'-(\w'a'u*4/10)'e
 164 .ds Ae A\h'-(\w'A'u*4/10)'E
 165 .ds oe o\h'-(\w'o'u*4/10)'e
 166 .ds Oe O\h'-(\w'O'u*4/10)'E
 167 .       \" corrections for vroff
 168 .if v .ds ~ \\k:\h'-(\\n(.wu*9/10-\*(#H)'\s-2\u~\d\s+2\h'|\\n:u'
 169 .if v .ds ^ \\k:\h'-(\\n(.wu*10/11-\*(#H)'\v'-.4m'^\v'.4m'\h'|\\n:u'
 170 .       \" for low resolution devices (crt and lpr)
 171 .if \n(.H>23 .if \n(.V>19 \
 172 \{\
 173 .       ds : e
 174 .       ds 8 ss
 175 .       ds v \h'-1'\o'\(aa\(ga'
 176 .       ds _ \h'-1'^
 177 .       ds . \h'-1'.
 178 .       ds 3 3
 179 .       ds o a
 180 .       ds d- d\h'-1'\(ga
 181 .       ds D- D\h'-1'\(hy
 182 .       ds th \o'bp'
 183 .       ds Th \o'LP'
 184 .       ds ae ae
 185 .       ds Ae AE
 186 .       ds oe oe
 187 .       ds Oe OE
 188 .\}
 189 .rm #[ #] #H #V #F C
 190 .SH "NAME"
 191 pkcs12 \- PKCS#12 file utility
 192 .SH "SYNOPSIS"
 193 \fBopenssl\fR \fBpkcs12\fR
 194 [\fB\-export\fR]
 195 [\fB\-chain\fR]
 196 [\fB\-inkey filename\fR]
 197 [\fB\-certfile filename\fR]
 198 [\fB\-name name\fR]
 199 [\fB\-caname name\fR]
 200 [\fB\-in filename\fR]
 201 [\fB\-out filename\fR]
 202 [\fB\-noout\fR]
 203 [\fB\-nomacver\fR]
 204 [\fB\-nocerts\fR]
 205 [\fB\-clcerts\fR]
 206 [\fB\-cacerts\fR]
 207 [\fB\-nokeys\fR]
 208 [\fB\-info\fR]
 209 [\fB\-des\fR]
 210 [\fB\-des3\fR]
 211 [\fB\-idea\fR]
 212 [\fB\-nodes\fR]
 213 [\fB\-noiter\fR]
 214 [\fB\-maciter\fR]
 215 [\fB\-twopass\fR]
 216 [\fB\-descert\fR]
 217 [\fB\-certpbe\fR]
 218 [\fB\-keypbe\fR]
 219 [\fB\-keyex\fR]
 220 [\fB\-keysig\fR]
 221 [\fB\-password arg\fR]
 222 [\fB\-passin arg\fR]
 223 [\fB\-passout arg\fR]
 224 [\fB\-rand file(s)\fR]
 225 .SH "DESCRIPTION"
 226 The \fBpkcs12\fR command allows PKCS#12 files (sometimes referred to as
 227 PFX files) to be created and parsed. PKCS#12 files are used by several
 228 programs including Netscape, MSIE and MS Outlook.
 229 .SH "COMMAND OPTIONS"
 230 There are a lot of options the meaning of some depends of whether a PKCS#12 file
 231 is being created or parsed. By default a PKCS#12 file is parsed a PKCS#12
 232 file can be created by using the \fB\-export\fR option (see below).
 233 .SH "PARSING OPTIONS"
 234 .Ip "\fB\-in filename\fR" 4
 235 This specifies filename of the \s-1PKCS\s0#12 file to be parsed. Standard input is used
 236 by default.
 237 .Ip "\fB\-out filename\fR" 4
 238 The filename to write certificates and private keys to, standard output by default.
 239 They are all written in \s-1PEM\s0 format.
 240 .Ip "\fB\-pass arg\fR, \fB\-passin arg\fR" 4
 241 the \s-1PKCS\s0#12 file (i.e. input file) password source. For more information about the
 242 format of \fBarg\fR see the \fB\s-1PASS\s0 \s-1PHRASE\s0 \s-1ARGUMENTS\s0\fR section in
 243 openssl(1).
 244 .Ip "\fB\-passout arg\fR" 4
 245 pass phrase source to encrypt any outputed private keys with. For more information
 246 about the format of \fBarg\fR see the \fB\s-1PASS\s0 \s-1PHRASE\s0 \s-1ARGUMENTS\s0\fR section in
 247 openssl(1).
 248 .Ip "\fB\-noout\fR" 4
 249 this option inhibits output of the keys and certificates to the output file version
 250 of the \s-1PKCS\s0#12 file.
 251 .Ip "\fB\-clcerts\fR" 4
 252 only output client certificates (not \s-1CA\s0 certificates).
 253 .Ip "\fB\-cacerts\fR" 4
 254 only output \s-1CA\s0 certificates (not client certificates).
 255 .Ip "\fB\-nocerts\fR" 4
 256 no certificates at all will be output.
 257 .Ip "\fB\-nokeys\fR" 4
 258 no private keys will be output.
 259 .Ip "\fB\-info\fR" 4
 260 output additional information about the \s-1PKCS\s0#12 file structure, algorithms used and
 261 iteration counts.
 262 .Ip "\fB\-des\fR" 4
 263 use \s-1DES\s0 to encrypt private keys before outputting.
 264 .Ip "\fB\-des3\fR" 4
 265 use triple \s-1DES\s0 to encrypt private keys before outputting, this is the default.
 266 .Ip "\fB\-idea\fR" 4
 267 use \s-1IDEA\s0 to encrypt private keys before outputting.
 268 .Ip "\fB\-nodes\fR" 4
 269 don't encrypt the private keys at all.
 270 .Ip "\fB\-nomacver\fR" 4
 271 don't attempt to verify the integrity \s-1MAC\s0 before reading the file.
 272 .Ip "\fB\-twopass\fR" 4
 273 prompt for separate integrity and encryption passwords: most software
 274 always assumes these are the same so this option will render such
 275 \s-1PKCS\s0#12 files unreadable.
 276 .SH "FILE CREATION OPTIONS"
 277 .Ip "\fB\-export\fR" 4
 278 This option specifies that a \s-1PKCS\s0#12 file will be created rather than
 279 parsed.
 280 .Ip "\fB\-out filename\fR" 4
 281 This specifies filename to write the \s-1PKCS\s0#12 file to. Standard output is used
 282 by default.
 283 .Ip "\fB\-in filename\fR" 4
 284 The filename to read certificates and private keys from, standard input by default.
 285 They must all be in \s-1PEM\s0 format. The order doesn't matter but one private key and
 286 its corresponding certificate should be present. If additional certificates are
 287 present they will also be included in the \s-1PKCS\s0#12 file.
 288 .Ip "\fB\-inkey filename\fR" 4
 289 file to read private key from. If not present then a private key must be present
 290 in the input file.
 291 .Ip "\fB\-name friendlyname\fR" 4
 292 This specifies the \*(L"friendly name\*(R" for the certificate and private key. This name
 293 is typically displayed in list boxes by software importing the file.
 294 .Ip "\fB\-certfile filename\fR" 4
 295 A filename to read additional certificates from.
 296 .Ip "\fB\-caname friendlyname\fR" 4
 297 This specifies the \*(L"friendly name\*(R" for other certificates. This option may be
 298 used multiple times to specify names for all certificates in the order they
 299 appear. Netscape ignores friendly names on other certificates whereas \s-1MSIE\s0
 300 displays them.
 301 .Ip "\fB\-pass arg\fR, \fB\-passout arg\fR" 4
 302 the \s-1PKCS\s0#12 file (i.e. output file) password source. For more information about
 303 the format of \fBarg\fR see the \fB\s-1PASS\s0 \s-1PHRASE\s0 \s-1ARGUMENTS\s0\fR section in
 304 openssl(1).
 305 .Ip "\fB\-passin password\fR" 4
 306 pass phrase source to decrypt any input private keys with. For more information
 307 about the format of \fBarg\fR see the \fB\s-1PASS\s0 \s-1PHRASE\s0 \s-1ARGUMENTS\s0\fR section in
 308 openssl(1).
 309 .Ip "\fB\-chain\fR" 4
 310 if this option is present then an attempt is made to include the entire
 311 certificate chain of the user certificate. The standard \s-1CA\s0 store is used
 312 for this search. If the search fails it is considered a fatal error.
 313 .Ip "\fB\-descert\fR" 4
 314 encrypt the certificate using triple \s-1DES\s0, this may render the \s-1PKCS\s0#12
 315 file unreadable by some \*(L"export grade\*(R" software. By default the private
 316 key is encrypted using triple \s-1DES\s0 and the certificate using 40 bit \s-1RC2\s0.
 317 .Ip "\fB\-keypbe alg\fR, \fB\-certpbe alg\fR" 4
 318 these options allow the algorithm used to encrypt the private key and
 319 certificates to be selected. Although any \s-1PKCS\s0#5 v1.5 or \s-1PKCS\s0#12 algorithms
 320 can be selected it is advisable only to use \s-1PKCS\s0#12 algorithms. See the list
 321 in the \fB\s-1NOTES\s0\fR section for more information.
 322 .Ip "\fB\-keyex|\-keysig\fR" 4
 323 specifies that the private key is to be used for key exchange or just signing.
 324 This option is only interpreted by \s-1MSIE\s0 and similar \s-1MS\s0 software. Normally
 325 \*(L"export grade\*(R" software will only allow 512 bit \s-1RSA\s0 keys to be used for
 326 encryption purposes but arbitrary length keys for signing. The \fB\-keysig\fR
 327 option marks the key for signing only. Signing only keys can be used for
 328 S/\s-1MIME\s0 signing, authenticode (ActiveX control signing)  and \s-1SSL\s0 client
 329 authentication, however due to a bug only \s-1MSIE\s0 5.0 and later support
 330 the use of signing only keys for \s-1SSL\s0 client authentication.
 331 .Ip "\fB\-nomaciter\fR, \fB\-noiter\fR" 4
 332 these options affect the iteration counts on the \s-1MAC\s0 and key algorithms.
 333 Unless you wish to produce files compatible with \s-1MSIE\s0 4.0 you should leave
 334 these options alone.
 335 .Sp
 336 To discourage attacks by using large dictionaries of common passwords the
 337 algorithm that derives keys from passwords can have an iteration count applied
 338 to it: this causes a certain part of the algorithm to be repeated and slows it
 339 down. The \s-1MAC\s0 is used to check the file integrity but since it will normally
 340 have the same password as the keys and certificates it could also be attacked.
 341 By default both \s-1MAC\s0 and encryption iteration counts are set to 2048, using
 342 these options the \s-1MAC\s0 and encryption iteration counts can be set to 1, since
 343 this reduces the file security you should not use these options unless you
 344 really have to. Most software supports both \s-1MAC\s0 and key iteration counts.
 345 \s-1MSIE\s0 4.0 doesn't support \s-1MAC\s0 iteration counts so it needs the \fB\-nomaciter\fR
 346 option.
 347 .Ip "\fB\-maciter\fR" 4
 348 This option is included for compatibility with previous versions, it used
 349 to be needed to use \s-1MAC\s0 iterations counts but they are now used by default.
 350 .Ip "\fB\-rand file(s)\fR" 4
 351 a file or files containing random data used to seed the random number
 352 generator, or an \s-1EGD\s0 socket (see RAND_egd(3)).
 353 Multiple files can be specified separated by a \s-1OS\s0\-dependent character.
 354 The separator is \fB;\fR for \s-1MS\s0\-Windows, \fB,\fR for OpenVMS, and \fB:\fR for
 355 all others.
 356 .SH "NOTES"
 357 Although there are a large number of options most of them are very rarely
 358 used. For PKCS#12 file parsing only \fB\-in\fR and \fB\-out\fR need to be used
 359 for PKCS#12 file creation \fB\-export\fR and \fB\-name\fR are also used.
 360 .PP
 361 If none of the \fB\-clcerts\fR, \fB\-cacerts\fR or \fB\-nocerts\fR options are present
 362 then all certificates will be output in the order they appear in the input
 363 PKCS#12 files. There is no guarantee that the first certificate present is
 364 the one corresponding to the private key. Certain software which requires
 365 a private key and certificate and assumes the first certificate in the
 366 file is the one corresponding to the private key: this may not always
 367 be the case. Using the \fB\-clcerts\fR option will solve this problem by only
 368 outputting the certificate corresponding to the private key. If the CA
 369 certificates are required then they can be output to a separate file using
 370 the \fB\-nokeys \-cacerts\fR options to just output CA certificates.
 371 .PP
 372 The \fB\-keypbe\fR and \fB\-certpbe\fR algorithms allow the precise encryption
 373 algorithms for private keys and certificates to be specified. Normally
 374 the defaults are fine but occasionally software can't handle triple DES
 375 encrypted private keys, then the option \fB\-keypbe PBE\-SHA1-RC2-40\fR can
 376 be used to reduce the private key encryption to 40 bit RC2. A complete
 377 description of all algorithms is contained in the \fBpkcs8\fR manual page.
 378 .SH "EXAMPLES"
 379 Parse a PKCS#12 file and output it to a file:
 380 .PP
 381 .Vb 1
 382 \& openssl pkcs12 -in file.p12 -out file.pem
 383 .Ve
 384 Output only client certificates to a file:
 385 .PP
 386 .Vb 1
 387 \& openssl pkcs12 -in file.p12 -clcerts -out file.pem
 388 .Ve
 389 Don't encrypt the private key:
 390
 391  openssl pkcs12 \-in file.p12 \-out file.pem \-nodes
 392 .PP
 393 Print some info about a PKCS#12 file:
 394 .PP
 395 .Vb 1
 396 \& openssl pkcs12 -in file.p12 -info -noout
 397 .Ve
 398 Create a PKCS#12 file:
 399 .PP
 400 .Vb 1
 401 \& openssl pkcs12 -export -in file.pem -out file.p12 -name "My Certificate"
 402 .Ve
 403 Include some extra certificates:
 404 .PP
 405 .Vb 2
 406 \& openssl pkcs12 -export -in file.pem -out file.p12 -name "My Certificate" \e
 407 \&  -certfile othercerts.pem
 408 .Ve
 409 .SH "BUGS"
 410 Some would argue that the PKCS#12 standard is one big bug :\-)
 411 .PP
 412 Versions of OpenSSL before 0.9.6a had a bug in the PKCS#12 key generation
 413 routines. Under rare circumstances this could produce a PKCS#12 file encrypted
 414 with an invalid key. As a result some PKCS#12 files which triggered this bug
 415 from other implementations (MSIE or Netscape) could not be decrypted
 416 by OpenSSL and similarly OpenSSL could produce PKCS#12 files which could
 417 not be decrypted by other implementations. The chances of producing such
 418 a file are relatively small: less than 1 in 256.
 419 .PP
 420 A side effect of fixing this bug is that any old invalidly encrypted PKCS#12
 421 files cannot no longer be parsed by the fixed version. Under such circumstances
 422 the \fBpkcs12\fR utility will report that the MAC is OK but fail with a decryption
 423 error when extracting private keys.
 424 .PP
 425 This problem can be resolved by extracting the private keys and certificates
 426 from the PKCS#12 file using an older version of OpenSSL and recreating the PKCS#12
 427 file from the keys and certificates using a newer version of OpenSSL. For example:
 428 .PP
 429 .Vb 2
 430 \& old-openssl -in bad.p12 -out keycerts.pem
 431 \& openssl -in keycerts.pem -export -name "My PKCS#12 file" -out fixed.p12
 432 .Ve
 433 .SH "SEE ALSO"
 434 pkcs8(1)
 435
 436 .rn }` ''
 437 .IX Title "PKCS12 1"
 438 .IX Name "pkcs12 - PKCS#12 file utility"
 439
 440 .IX Header "NAME"
 441
 442 .IX Header "SYNOPSIS"
 443
 444 .IX Header "DESCRIPTION"
 445
 446 .IX Header "COMMAND OPTIONS"
 447
 448 .IX Header "PARSING OPTIONS"
 449
 450 .IX Item "\fB\-in filename\fR"
 451
 452 .IX Item "\fB\-out filename\fR"
 453
 454 .IX Item "\fB\-pass arg\fR, \fB\-passin arg\fR"
 455
 456 .IX Item "\fB\-passout arg\fR"
 457
 458 .IX Item "\fB\-noout\fR"
 459
 460 .IX Item "\fB\-clcerts\fR"
 461
 462 .IX Item "\fB\-cacerts\fR"
 463
 464 .IX Item "\fB\-nocerts\fR"
 465
 466 .IX Item "\fB\-nokeys\fR"
 467
 468 .IX Item "\fB\-info\fR"
 469
 470 .IX Item "\fB\-des\fR"
 471
 472 .IX Item "\fB\-des3\fR"
 473
 474 .IX Item "\fB\-idea\fR"
 475
 476 .IX Item "\fB\-nodes\fR"
 477
 478 .IX Item "\fB\-nomacver\fR"
 479
 480 .IX Item "\fB\-twopass\fR"
 481
 482 .IX Header "FILE CREATION OPTIONS"
 483
 484 .IX Item "\fB\-export\fR"
 485
 486 .IX Item "\fB\-out filename\fR"
 487
 488 .IX Item "\fB\-in filename\fR"
 489
 490 .IX Item "\fB\-inkey filename\fR"
 491
 492 .IX Item "\fB\-name friendlyname\fR"
 493
 494 .IX Item "\fB\-certfile filename\fR"
 495
 496 .IX Item "\fB\-caname friendlyname\fR"
 497
 498 .IX Item "\fB\-pass arg\fR, \fB\-passout arg\fR"
 499
 500 .IX Item "\fB\-passin password\fR"
 501
 502 .IX Item "\fB\-chain\fR"
 503
 504 .IX Item "\fB\-descert\fR"
 505
 506 .IX Item "\fB\-keypbe alg\fR, \fB\-certpbe alg\fR"
 507
 508 .IX Item "\fB\-keyex|\-keysig\fR"
 509
 510 .IX Item "\fB\-nomaciter\fR, \fB\-noiter\fR"
 511
 512 .IX Item "\fB\-maciter\fR"
 513
 514 .IX Item "\fB\-rand file(s)\fR"
 515
 516 .IX Header "NOTES"
 517
 518 .IX Header "EXAMPLES"
 519
 520 .IX Header "BUGS"
 521
 522 .IX Header "SEE ALSO"
 523