创建X509证书，并获取证书密钥的一点研究

最新推荐文章于 2024-02-05 13:47:28 发布
最新推荐文章于 2024-02-05 13:47:28 发布
阅读量9.5k 收藏 4
点赞数
分类专栏： .Net 技术 文章标签： string 加密 exception byte module object
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/eaglet/article/details/1685737
版权
 
创建X509证书，并获取证书密钥的一点研究
 
作者：肖波
个人博客： http://blog.csdn.net/eaglet ; http://www.cnblogs.com/eaglet
2007/7 南京
 
背景
服务器SSL数字证书和客户端单位数字证书的格式遵循 X.509 标准。 X.509 是由国际电信联盟（ITU-T）制定的数字证书标准。为了提供公用网络用户目录信息服务， ITU 于 1988 年制定了 X.500 系列标准。其中 X.500 和 X.509 是安全认证系统的核心， X.500 定义了一种区别命名规则，以命名树来确保用户名称的唯一性； X.509 则为 X.500 用户名称提供了通信实体鉴别机制，并规定了实体鉴别过程中广泛适用的证书语法和数据接口， X.509 称之为证书。
   X.509 给出的鉴别框架是一种基于公开密钥体制的鉴别业务密钥管理。一个用户有两把密钥：一把是用户的专用密钥(简称为：私钥)，另一把是其他用户都可得到和利用的公共密钥(简称为：公钥)。用户可用常规加密算法（如 DES）为信息加密，然后再用接收者的公共密钥对 DES 进行加密并将之附于信息之上，这样接收者可用对应的专用密钥打开 DES 密锁，并对信息解密。该鉴别框架允许用户将其公开密钥存放在CA的目录项中。一个用户如果想与另一个用户交换秘密信息，就可以直接从对方的目录项中获得相应的公开密钥，用于各种安全服务。
   最初的 X.509 版本公布于 1988 年，版本 3 的建议稿 1994 年公布，在 1995 年获得批准。本质上， X.509 证书由用户公共密钥与用户标识符组成，此外还包括版本号、证书序列号、CA 标识符、签名算法标识、签发者名称、证书有效期等。用户可通过安全可靠的方式向 CA 提供其公共密钥以获得证书，这样用户就可公开其证书，而任何需要此用户的公共密钥者都能得到此证书，并通过 CA 检验密钥是否正确。这一标准的最新版本 -- X.509 版本 3 是针对包含扩展信息的数字证书，提供一个扩展字段，以提供更多的灵活性及特殊环境下所需的信息传送。
   为了进行身份认证， X.509 标准及公共密钥加密系统提供了一个称作数字签名的方案。用户可生成一段信息及其摘要（亦称作信息“指纹”）。用户用专用密钥对摘要加密以形成签名，接收者用发送者的公共密钥对签名解密，并将之与收到的信息“指纹”进行比较，以确定其真实性。
   目前， X.509 标准已在编排公共密钥格式方面被广泛接受，已用于许多网络安全应用程序，其中包括 IP 安全（ Ipsec ）、安全套接层（ SSL ）、安全电子交易（ SET ）、安全多媒体 INTERNET 邮件扩展（ S/MIME ）等。
 
创建 X509 证书
创建X509证书方法较多，在Windows 环境下大致总结了几中办法，
1)      通过CA获取证书，
2)      通过微软提供的makecert 工具得到测试证书
3)      编程的方法创建，.Net提供了 X509Certificate2 类，该类可以用于创建证书，但只能从RawData中创建，创建后无法修改除FriendlyName以外的任何属性。
 
我在互联网上找了很久，始终没有找到完全通过程序创建自定义的证书的方法。后来想了一个折中办法，就是用程序调用 makecert.exe 先生成一个证书，证书的一些参数如Subject，有效期，序列号等可以通过参数传入，然后把生成的证书文件读到Rawdata中，得到 X509Certificate2 类型的证书对象。当然这种方法确实比较笨，必须要依赖外部进程。等后面有时间的话，我还是想按照X509 V3 标准，自己创建RawData，然后生成证书，这样应该是比较灵活的做法。不知道网友们有没有什么更好的方法来创建一个自定义的证书。
 
通过 makecert.exe 创建X509证书的代码如下，供大家参考
 
static object semObj = new object();
 
/// <summary>
/// 自定义的证书信息
/// </summary>
public class T_CertInfo
{
    public String FriendlyName;
    public String Subject;
    public DateTime BeginDate;
    public DateTime EndDate;
    public int SerialNumber;
}
 
/// <summary>
/// 生成X509证书
/// </summary>
/// <param name="makecrtPath">makecert进程的目录</param>
/// <param name="crtPath">证书文件临时目录</param>
/// <param name="certInfo">证书信息</param>
/// <returns></returns>
public static X509Certificate2 CreateCertificate(String makecrtPath, String crtPath,
    T_CertInfo certInfo)
{
    Debug.Assert(certInfo != null);
    Debug.Assert(certInfo.Subject != null);
 
    string MakeCert = makecrtPath + "makecert.exe";
    string fileName = crtPath + "cer";
 
    string userName = Guid.NewGuid().ToString();
 
    StringBuilder arguments = new StringBuilder();
 
    arguments.AppendFormat("-r -n /"{0}/" -ss my -sr currentuser -sky exchange ",
        certInfo.Subject);
 
    if (certInfo.SerialNumber > 0)
    {
        arguments.AppendFormat("-# {0} ", certInfo.SerialNumber);
    }
 
    arguments.AppendFormat("-b {0} ", certInfo.BeginDate.ToString(@"MM//dd//yyyy"));
    arguments.AppendFormat("-e {0} ", certInfo.EndDate.ToString(@"MM//dd//yyyy"));
    arguments.AppendFormat("/"{0}/"", fileName);
 
    lock (semObj)
    {
        Process p = Process.Start(MakeCert, arguments.ToString());
        p.WaitForExit();
 
        byte[] certBytes = ReadFile(fileName);
        X509Certificate2 cert = new X509Certificate2(certBytes);
        cert = new X509Certificate2(certBytes);
 
        if (certInfo.FriendlyName != null)
        {
            cert.FriendlyName = certInfo.FriendlyName;
        }
 
        return cert;
    }
}
 
 
internal static byte[] ReadFile(string fileName)
{
    using (FileStream f = new FileStream(fileName, FileMode.Open, FileAccess.Read))
    {
        int size = (int)f.Length;
        byte[] data = new byte[size];
        size = f.Read(data, 0, size);
        return data;
    }
}
 
获取证书私钥
通过上述方法得到的X509证书，只能获取其公钥信息，由于公钥私钥是成对出现的，如果我们要在程序中使用该证书来加解密，就必须要获取公钥对应的那个私钥。一样是在互联网上没有找到很好的解决办法，只能自己研究。目前总结出两种方法，给大家分享：
第一种方法：
从密钥容器中获取私钥。具体方法如下：
首先在 makecert 的参数中要加入一条 -sk keyname  指定主题的密钥容器位置，该位置包含私钥。如果密钥容器不存在，系统将创建一个。
然后 在执行完 p.WaitForExit(); 这一句后执行下面语句获取私钥和私钥参数
RSAParameters privateKey;
RSACryptoServiceProvider rsa = GetKeyFromContainer("keyname");
privateKey = rsa.ExportParameters(true);
 
public static RSACryptoServiceProvider GetKeyFromContainer(string ContainerName)
{
    // Create the CspParameters object and set the key container
    // name used to store the RSA key pair.
    CspParameters cp = new CspParameters();
    cp.KeyContainerName = ContainerName;
 
    // Create a new instance of RSACryptoServiceProvider that accesses
    // the key container MyKeyContainerName.
    return new RSACryptoServiceProvider(cp);
}
 
这种方法有一个缺点就是程序的调用者必须要具备读取密钥容器的权限才行，如果是Web应用，由于IIS来宾帐户没有这个权限，将无法读取密钥容器中的密钥。尝试采用模拟超级用户登录的方法（ NetworkSecurity.ImpersonateUser ）， 也无法解决这个问题,而且这样做我个人觉得对网站的安全性方面也不是很好。后来想出了第二种方法，就是干脆重置密钥对，用自己生成的密钥对替换证书中的密钥对，试了一下，还是行之有效的。
第二种方法：
重置密钥对，方法如下：
首先要生成一个加密算法和加密位数与makecert生成的证书密钥相同的密钥。通过实测发现makecert采用交换密钥时，默认产生一个1024位RSA密钥，Exponent 为 1,0,1,这和
RSACryptoServiceProvider 默认的密钥是相同的。所以只要用 RSACryptoServiceProvider RSA = new RSACryptoServiceProvider() 生成一个密钥就可以了。
 
第二步就是替换，也就是将密钥文件中公钥参数替换为要置换的公钥参数。
 
RSAParameters publicKey;
RSAParameters privateKey;
 
RSACryptoServiceProvider RSA = (RSACryptoServiceProvider)cert.PublicKey.Key;
publicKey = RSA.ExportParameters(false);
 
// 查找公钥参数在RawData中的位置
if (publicKey.Modulus.Length != 128 || publicKey.Exponent.Length != 3)
{
    throw new Exception("public key module lenght != 128!");
}
 
if (publicKey.Exponent[0] != 1 ||
    publicKey.Exponent[1] != 0 ||
    publicKey.Exponent[2] != 1)
{
    throw new Exception("public key Exponent != 101!");
}
 
byte[] module = publicKey.Modulus;
 
int i = 0;
int matchCnt = 0;
int modulePos = 0;
int j = 0;
 
while (i < certBytes.Length)
{
 
    if (certBytes[i] == module[j]) //cerBytes 为 RawData，什么可以参加创建证书的代码
    {
        i++;
        j++;
        matchCnt++;
 
        if (matchCnt == 128)
        {
            modulePos = i - 128;
            break;
        }
    }
    else
    {
        if (matchCnt == 128)
        {
            modulePos = i - 128;
            break;
        }
        else
        {
            matchCnt = 0;
            j = 0;
            i++;
        }
    }
}
 
//创建密钥对
RSA = new RSACryptoServiceProvider();
publicKey = RSA.ExportParameters(false);
privateKey = RSA.ExportParameters(true);
 
//将要重置的密钥对中的公钥参数覆盖原参数
 
j = 0;
for (i = modulePos; i < modulePos + 128; i++)
{
    certBytes[i] = publicKey.Modulus[j];
    j++;
}
 
//用新参数重新创建证书
cert = new X509Certificate2(certBytes);
 
这样一来 privateKey 就成了新证书的私钥了。
 
这种方法的问题：
这种方法的问题是查找证书中公钥信息，是通过匹配的方式来做的，这是一个偷懒的方法，正确的做法应该是按照标准的定义来查找，由于暂时没有太多时间去仔细研究标准，所以就偷了一个懒，但感觉这种方法目前来说还是行之有效的，待以后改进吧。
 
 
参考资料
http://www.ietf.org/rfc/rfc2459.txt IETF 的 X509 V3 版本标准全文
 
 
 
eaglet
关注
  • 0
    点赞
  • 踩
  • 4
    收藏
    觉得还不错? 一键收藏
  • 4
    评论
专栏目录
cli：:toolbox:零信任度的瑞士军刀，可用于X509，OAuth，JWT，OATH OTP等
02-05
步骤CLI step是用于使用公钥基础结构（PKI）的工具包。... 将X.509证书安装（并删除）到系统（和浏览器）的信任库中。 创建密钥对（RSA，ECDSA，EdDSA）和证书签名请求（CSR）创建适用于TLS和HTTPS
X509证书创建工具：Makecert.exe
ylq1045的专栏
11-03 2791
计算机上已安装Visual Studio。 参考微软官方文档 【Markcert.exe】 https://docs.microsoft.com/zh-cn/previous-versions/dotnet/netframework-4.0/bfsktky3(v=vs.100) 【证书创建工具】 开始-->所有程序--->Visual Studio 2017-->Visual Studio Tools--->Vs 2017的开发人员命令提示符 输入命令： makec.
C# 使用X509Certificate2获取数字证书信息对接联通沃支付
Luxin_NET的博客
10-24 4426
支付时回调地址作为参数传过去，支付完成后联通沃支付将页面重定向至你给他传的回调地址上，并携带参数，参数同样包括明文密文，需要在我们的回调地址方法中进行验签和业务处理后，再重定向至自己网站的支付成功页面。在验签时，我们将对方传过来的参数按照第二步同样的方式，按参数列表的键的ASKII码排序并用管道符“|”拼接为字符（注意，要将参数列表中的signMsg密文签名去除）。将要生成的签名的参数遍历成一个字符串，需根据参数名的ASKII码排序（一定要排，不然对方验签通不过），并使用管道符“|”拼接起来，例如。
Go: 使用x509.CreateCertificate方法签发带CA的证书
最新发布
十年运维开发经验的王义杰在此分享自己的知识和经验
02-05 1103
在Go语言的开发过程中，库是一个强大的工具，它用于处理X.509编码的证书。这个库提供了广泛的功能，其中函数是最核心的部分之一。这个函数能够创建新的X.509证书。本文将详细讲解如何使用这个函数来指定CA（证书颁发机构）创建证书，而非创建没有CA的自签名证书。
亚马逊创建X509证书的几种方式
dandingwangzi的专栏
02-11 1013
亚马逊创建证书的几种方式
.NET操作数字证书
weixin_30767921的博客
07-13 297
NET中操作数字证书，包括如何生成证书、编程操作证书、创建发行者证书等等步骤。.NET为我们提供了操作数字证书的两个主要的类，分为为：System.Security.Cryptography.X509Certificates.X509Certificate2类， 每个这个类的实例可以表示一个证书；System.Security.Cryptography.X509Certificates.X509S...
X509证书详解
热门推荐
weixin_43408952的博客
05-11 2万+
X509证书全面解读
基于golang的直播平台项目源码+项目说明.zip
11-19
启动rtmps服务器时，先从配置文件中获取了证书和密钥的路径，然后使用 tls.LoadX509KeyPair 函数加载证书和密钥。 证书和密钥是用于加密和解密数据传输的，通常以文件的形式存储在磁盘上。 证书和密钥的`生成`通常...
botan-historical:提交日志的预发布保存
06-24
Botan 加密图书馆 Botan 是一个用于加密和 TLS 的 D 库，用于 vibe.... X.509 证书（包括生成新的自签名证书和 CA 证书）和 CRL 证书路径验证和 OCSP PKCS #10 证书请求（创建和证书颁发） 公钥密码学 加密算法 RSA、
java源码包---java 源码 大量 实例
04-18
　数字证书：从文件中读取数字证书，生成文件输入流,输入文件为c:/mycert.cer，获取一个处理X.509证书的证书工厂…… Java+ajax写的登录实例 1个目标文件 内容索引:Java源码,初学实例,ajax,登录 　一个Java+ajax写...
计算机网络安全总结复习.docx
06-07
） 黑客入侵攻击的一般过程可分踩点、扫描、查点、获取权限、提升权限、窃取 信息、隐藏痕迹、创建后门等。 计算机网络安全总结复习全文共5页，当前为第1页。2、 网络扫描：地址扫描、端口扫描、漏洞扫描。 计算机...
java xml转pem_java利用bouncycastle生成国密x509证书并将证书以pem格式存入文件，附golang对生成证书的验证...
weixin_42502040的博客
02-26 1166
小白一枚，搞这个弄得心力交瘁，希望对你们有用…参考了大牛的实现，https://github.com/ZZMarquis/gmhelper感谢大牛的贡献，不然我等小白真的…pom.xml4.0.0com.jinhongjian.testBCgmtestBCgm-test1.0-SNAPSHOTorg.apache.maven.pluginsmaven-compiler-plugin66org.bo...
利用openssl生成X509证书
weixin_44435327的博客
10-12 3305
利用openssl生成x509证书
openssl命令x509证书操作详解
N阶二进制的博客
11-03 3885
OpenSSL 是一个开源的加密和解密工具，它提供了一系列命令来操作证书和密钥。以下是一些常用的 OpenSSL 命令，用于操作证书的详细解释：生成自签名证书是指在没有经过任何第三方证书颁发机构（CA，Certificate Authority）的认证下，由个人或组织自行创建和签名的数字证书。自签名证书可以用于安全通信，但在实际应用中，它们通常用于测试、开发和内部使用，而不是在公共网络中使用，因为它们没有受到可信任 CA 的验证，可能会引发安全问题。在使用自签名证书时，虽然可以加密通信，但客户端在连接时通常
Java 生成X.509 V3证书
Cloud-Future的博客
10-24 5316
Java 生成 X509 V3证书 使用Java 语言生成 X.509 V3证书 pem格式证书生成 使用Java 语言生成 X.509 V3 pem格式证书
好用实际的X50证书生成工具
weixin_43292686的博客
04-19 219
/签名算法：RSA签名，用MD5哈希算法摘要。//存储证书keyStore类型 PKCS12。throw new Exception(“该证书未包含别名------->”+alias);//系统添加BC加密算法，以后系统中调用的算法都是BC的算法。//创建KeyStore,存储证书。用于生成 X509 证书和jks。// 1.创建证书。
x509证书、openssl、go生成证书
youngZ_H的博客
03-21 5231
文章目录x509证书1. 概述2. x509证书结构2.1 证书扩展字段(X509v3 extensions)2.1.1 Key Usage2.1.2 Extended Key Usage2.1.3 Basic Constraints2.1.4 Subject Key Identifier2.1.5 Subject Alternative Name3. 证书分类3.1 根证书3.2 中间证书3.3 实体证书4. 证书的输出格式5. 证书吊销6. OpenSSL使用6.1 生成公私钥6.1.1生成rsa公私钥
X509证书以及相关java常用接口
学习不止境的博客
04-17 5280
例如，如果getNotAfter()返回的值是1649992800000，那么证书的过期日期是2023年4月14日23:59:59 GMT。例如，如果getNotBefore()返回的值是1618476000000，那么证书的生效日期是2021年4月15日00:00:00 GMT。例如，.pem格式的证书是以Base64编码的ASCII文本格式，.crt格式的证书通常是PEM编码的，而.cer格式的证书可以是DER编码或PEM编码。和之前的getIssueDn不同的是，前者是证书持有者，后者是证书颁发者。
怎么使用openssl来生成一个自签名的x509证书？
DataVoyager的博客
03-28 1517
环境 RHEL 问题 我知道OpenSSL可以被用来生成SSL证书给Apache httpd使用，该怎么生成呢？ 我之前使用genkey命令来生成自签名证书，但是它没有给我足够的选项，我需要指定一个non-md5 digest，我怎么使用openssl来做？ 解决方法 传统的有2个步骤的方法 1.生成一个新的RSA private key（1024, 2048, 3072, 或者 4096 bits），比如： $ openssl genrsa 2048 >/etc/pki/tls/
gmssl 2.5 c/c++实现sm2签名公钥导出为x509证书,并从证书读取公钥
05-25
要实现SM2签名公钥导出为X509证书并从证书读取公钥，可以使用以下步骤： 1. 生成SM2密钥对，并使用公钥创建X509证书。 ```c++ #include <gmssl/sm2.h> #include <gmssl/x509.h> int main() { // 生成SM2密钥对 SM2_KEY sm2_key; SM2_keygen(&sm2_key); // 创建X509证书 X509_CERTIFICATE cert; x509_certificate_init(&cert); x509_set_version(&cert.tbs_certificate.version, X509_version_v3); x509_set_serial_number(&cert.tbs_certificate.serial_number, "123456789"); x509_set_subject(&cert.tbs_certificate.subject, "CN=Test,O=Test Org"); x509_set_issuer(&cert.tbs_certificate.issuer, "CN=Test CA,O=Test Org"); x509_set_validity(&cert.tbs_certificate.validity, "20210101000000Z", "20220101000000Z"); x509_set_subject_public_key_info(&cert.tbs_certificate.subject_public_key_info, &sm2_key.public_key); // 签名 x509_certificate_sign(&cert, &sm2_key, SM3); // 输出证书 uint8_t buf[4096]; size_t buflen = sizeof(buf); x509_certificate_to_der(&cert, buf, &buflen); printf("Certificate:\n"); for (size_t i = 0; i < buflen; i++) { printf("%02X", buf[i]); } return 0; } ``` 2. 从X509证书中读取公钥。 ```c++ #include <gmssl/x509.h> int main() { // 读取X509证书 X509_CERTIFICATE cert; uint8_t buf[4096]; size_t buflen = sizeof(buf); // 从文件中读取证书 FILE *fp = fopen("test.crt", "rb"); fread(buf, 1, sizeof(buf), fp); fclose(fp); x509_certificate_from_der(&cert, buf, sizeof(buf)); // 获取公钥 SM2_PUBLIC_KEY sm2_pubkey; x509_get_public_key(&cert.tbs_certificate.subject_public_key_info, &sm2_pubkey); return 0; } ``` 以上代码使用了GMSSL库的API来进行SM2密钥对的生成、X509证书的创建和读取，需要在编译时链接GMSSL库。

“相关推荐”对你有帮助么？

  • 非常没帮助
  • 没帮助
  • 一般
  • 有帮助
  • 非常有帮助
提交
评论 4
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值