Вы отметили 'keytool'.Если вы имеете в виду Java keytool, который не единственный, он может сделать это:
keytool -keystore in.p12 -storetype pkcs12 -exportcert -file out.crt -rfc -alias $name
# for java9 up omit -storetype pkcs12 -- it's now default
# -rfc gives PEM form; omit for DER form
# can omit -alias $name if 'friendlyname' is mykey --
# but that's likely only for stores created _with_ keytool
# because other tools and users mostly don't use that name
(но лично я бы использовал openssl
как в ответе crack_it).