Можно ли программно сгенерировать сертификат X509, используя только C #? - PullRequest
Новая
       87

Можно ли программно сгенерировать сертификат X509, используя только C #?

40 голосов
/ 22 сентября 2010

Мы пытаемся сгенерировать сертификат X509 (включая закрытый ключ) программно, используя C # и библиотеку BouncyCastle . Мы попытались использовать часть кода из этого примера Феликса Коллманна , но часть закрытого ключа сертификата возвращает ноль. Код и модульный тест приведены ниже: 

using System;
using System.Collections;
using Org.BouncyCastle.Asn1;
using Org.BouncyCastle.Asn1.X509;
using Org.BouncyCastle.Crypto;
using Org.BouncyCastle.Crypto.Generators;
using Org.BouncyCastle.Crypto.Prng;
using Org.BouncyCastle.Math;
using Org.BouncyCastle.Security;
using Org.BouncyCastle.X509;

namespace MyApp
{
    public class CertificateGenerator
    {
        /// <summary>
        /// 
        /// </summary>
        /// <remarks>Based on <see cref="http://www.fkollmann.de/v2/post/Creating-certificates-using-BouncyCastle.aspx"/></remarks>
        /// <param name="subjectName"></param>
        /// <returns></returns>
        public static byte[] GenerateCertificate(string subjectName)
        {
            var kpgen = new RsaKeyPairGenerator();

            kpgen.Init(new KeyGenerationParameters(new SecureRandom(new CryptoApiRandomGenerator()), 1024));

            var kp = kpgen.GenerateKeyPair();

            var gen = new X509V3CertificateGenerator();

            var certName = new X509Name("CN=" + subjectName);
            var serialNo = BigInteger.ProbablePrime(120, new Random());

            gen.SetSerialNumber(serialNo);
            gen.SetSubjectDN(certName);
            gen.SetIssuerDN(certName);
            gen.SetNotAfter(DateTime.Now.AddYears(100));
            gen.SetNotBefore(DateTime.Now.Subtract(new TimeSpan(7, 0, 0, 0)));
            gen.SetSignatureAlgorithm("MD5WithRSA");
            gen.SetPublicKey(kp.Public);

            gen.AddExtension(
                X509Extensions.AuthorityKeyIdentifier.Id,
                false,
                new AuthorityKeyIdentifier(
                    SubjectPublicKeyInfoFactory.CreateSubjectPublicKeyInfo(kp.Public),
                    new GeneralNames(new GeneralName(certName)),
                    serialNo));

            gen.AddExtension(
                X509Extensions.ExtendedKeyUsage.Id,
                false,
                new ExtendedKeyUsage(new ArrayList() { new DerObjectIdentifier("1.3.6.1.5.5.7.3.1") }));

            var newCert = gen.Generate(kp.Private);
            return DotNetUtilities.ToX509Certificate(newCert).Export(System.Security.Cryptography.X509Certificates.X509ContentType.Pkcs12, "password");
        }
    }
}

Юнит-тест: 

using System.Security.Cryptography;
using System.Security.Cryptography.X509Certificates;
using Microsoft.VisualStudio.TestTools.UnitTesting;

namespace MyApp
{
    [TestClass]
    public class CertificateGeneratorTests
    {
        [TestMethod]
        public void GenerateCertificate_Test_ValidCertificate()
        {
            // Arrange
            string subjectName = "test";

            // Act
            byte[] actual = CertificateGenerator.GenerateCertificate(subjectName);

            // Assert
            var cert = new X509Certificate2(actual, "password");
            Assert.AreEqual("CN=" + subjectName, cert.Subject);
            Assert.IsInstanceOfType(cert.PrivateKey, typeof(RSACryptoServiceProvider));
        }
    }
}

Ответы [ 2 ]

31 голосов
/ 22 сентября 2010

Просто чтобы уточнить, сертификат X.509 не содержит закрытого ключа.Слово сертификат иногда неправильно используется для обозначения комбинации сертификата и закрытого ключа, но они являются двумя различными объектами.Весь смысл использования сертификатов состоит в том, чтобы отправлять их более или менее открыто, без отправки секретного ключа, который должен храниться в секрете.С X509Certificate2 объектом может быть связан с ним закрытый ключ (через его свойство PrivateKey), но это только удобство как часть дизайна этого класса.

В вашем первом примере кода BouncyCastle, newCert на самом деле просто сертификат, а DotNetUtilities.ToX509Certificate(newCert) построен только из сертификата.

Учитывая, что формат PKCS # 12 требует наличия закрытого ключа, я весьма удивленчто следующая часть даже работает (учитывая, что вы вызываете его на сертификате, который не может знать секретный ключ): 

.Export(System.Security.Cryptography.X509Certificates.X509ContentType.Pkcs12,
    "password");

(gen.Generate(kp.Private) подписывает сертификат с помощью секретного ключа, но нене помещайте закрытый ключ в сертификат, что не имеет смысла.)

Если вы хотите, чтобы ваш метод возвращал и сертификат, и закрытый ключ, вы можете либо:

  • Вернуть X509Certificate2 объект, в котором вы инициализировали свойство PrivateKey
  • Построить хранилище PKCS # 12 и вернуть его содержимое byte[] (как если бы это был файл). Шаг 3 в отправленной вами ссылке ( mirror ) объясняет, как создать хранилище PKCS # 12.

Возвращение byte[] (DER) структура самого сертификата X.509 не будет содержать закрытый ключ.

Если ваша основная задача (в соответствии с вашим тестовым примером) состоит в том, чтобы проверить, что сертификат был создан из пары ключей RSA, вы можетевместо этого проверьте тип его открытого ключа.

7 голосов
/ 20 марта 2014

Я понимаю, что это старый пост, но я нашел эти отличные статьи, которые проходят через процесс:

Использование Bouncy Castle из .NET

...