SSL从理论到实践(三)——证书文件

最新推荐文章于 2024-07-04 16:11:24 发布

曾博文

最新推荐文章于 2024-07-04 16:11:24 发布

阅读量667

点赞数

分类专栏： SSL SSL从理论到实践文章标签： X.509 pem der jks bks

本文链接：https://blog.csdn.net/z191726501/article/details/86516525

版权

SSL 同时被 2 个专栏收录

5 篇文章 1 订阅

订阅专栏

SSL从理论到实践

5 篇文章 0 订阅

订阅专栏

1.证书标准

X.509：这是一种证书标准，主要定义了证书中应该包含哪些内容。其详情可以参考RFC5280,SSL使用的就是这种证书标准。

2.公钥加密标准（PKCS）

PKCS（The Public-Key Cryptography Standards）)是由美国RSA数据安全公司及其合作伙伴制定的一组公钥密码学标准，其中包括证书申请、证书更新、证书作废表发布、扩展证书内容以及数字签名、数字信封的格式等方面的一系列相关协议。

3.编码格式

同样的X.509证书,可能有不同的编码格式,目前有以下两种编码格式：

PEM（Privacy Enhanced Mail）：打开看文本格式，以“-----BEGIN…”开头，“-----END…”结尾，内容是BASE64编码。查看PEM格式证书的信息：openssl x509 -in certificate.pem -text -noout。Apache和*NIX服务器偏向于使用这种编码格式。
DER（Distinguished Encoding Rules）：打开看是二进制格式,不可读。查看DER格式证书的信息:openssl x509 -in certificate.der -inform der -text -noout。Java和Windows服务器偏向于使用这种编码格式。

4.相关的文件扩展名

crt：certificate的缩写，存放的是证书。常见于*NIX系统，大多数是PEM编码，也可能是DER编码。
cer：certificate的缩写，存放的是证书。常见于Windows系统，大多数是DER编码，也可能是PEM编码。
key：通常用来存放一个公钥或者私钥。编码可能是PEM,也可能是DER。查看KEY的办法：openssl rsa -in mykey.key -text -noout（签名算法不是rsa时需要修改rsa为对应的算法）。如果是DER格式的话,同理应该这样了：openssl rsa -in mykey.key -text -noout -inform der。
csr：Certificate Signing Request，即证书签名请求。这个并不是证书，而是向权威证书颁发机构获得签名证书的申请。查看的办法：openssl req -noout -text -in my.csr (如果是DER格式的话照旧加上-inform der,这里不写了)。
pk8：使用PKCS#8标准，存放用户的私钥。
pfx/p12：使用PKCS#12标准，存放用户的私钥和证书。
jks：Java Key Store，是Java提供的密钥库。jks里有KeyEntry和CertEntry，而且可以具有多个Entry。KeyEntry包含私钥和证书。CertEntry只包含证书。在库里的每个Entry都是靠别名来识别的。可以使用keytool来操作jks。
bks：是Bouncy Castle提供的密钥库。Android客户端只支持BKS类型的密钥库。
bks和jks的区别：JKS和JCEKS是Java密钥库(KeyStore)的两种比较常见类型，JKS的Provider是SUN，在每个版本的JDK中都有。BKS来自BouncyCastleProvider，它使用的是TripleDES来保护密钥库中的Key，它能够防止证书库被不小心修改（Keystore的keyentry改掉1个bit都会产生错误），BKS能够跟JKS互操作。

5.证书编码的转换

PEM转DER：openssl x509 -in cert.crt -outform der -out cert.der
DER转PEM：openssl x509 -in cert.crt -inform der -outform pem -out cert.pem
（提示：转换KEY文件也类似，只不过把x509换成rsa或者其他对应的算法）