В итоге понял в чем была проблема.
Оказывается сервер 12 где крутится чанга не поддерживает метод шифрования пароля сертификата.
А т.к я пробовал делать анпакинг сертификатов на 11 винде эй было очень даже замечательно.
Вот команда для WSsrv2012 r2
openssl pkcs12 -export -certpbe PBE-SHA1-3DES -keypbe PBE-SHA1-3DES -nomac -inkey private.key -in cert_name.crt -out cert_name.legacy.pfx