我们正在尝试使用 C# 和 BouncyCastle 以编程方式生成 X509 证书(包括私钥)图书馆。我们尝试使用 this sample by Felix Kollmann 中的一些代码但证书的私钥部分返回 null。代码和单元测试如下:
using System;
using System.Collections;
using Org.BouncyCastle.Asn1;
using Org.BouncyCastle.Asn1.X509;
using Org.BouncyCastle.Crypto;
using Org.BouncyCastle.Crypto.Generators;
using Org.BouncyCastle.Crypto.Prng;
using Org.BouncyCastle.Math;
using Org.BouncyCastle.Security;
using Org.BouncyCastle.X509;
namespace MyApp
{
public class CertificateGenerator
{
/// <summary>
///
/// </summary>
/// <remarks>Based on <see cref="http://www.fkollmann.de/v2/post/Creating-certificates-using-BouncyCastle.aspx"/></remarks>
/// <param name="subjectName"></param>
/// <returns></returns>
public static byte[] GenerateCertificate(string subjectName)
{
var kpgen = new RsaKeyPairGenerator();
kpgen.Init(new KeyGenerationParameters(new SecureRandom(new CryptoApiRandomGenerator()), 1024));
var kp = kpgen.GenerateKeyPair();
var gen = new X509V3CertificateGenerator();
var certName = new X509Name("CN=" + subjectName);
var serialNo = BigInteger.ProbablePrime(120, new Random());
gen.SetSerialNumber(serialNo);
gen.SetSubjectDN(certName);
gen.SetIssuerDN(certName);
gen.SetNotAfter(DateTime.Now.AddYears(100));
gen.SetNotBefore(DateTime.Now.Subtract(new TimeSpan(7, 0, 0, 0)));
gen.SetSignatureAlgorithm("MD5WithRSA");
gen.SetPublicKey(kp.Public);
gen.AddExtension(
X509Extensions.AuthorityKeyIdentifier.Id,
false,
new AuthorityKeyIdentifier(
SubjectPublicKeyInfoFactory.CreateSubjectPublicKeyInfo(kp.Public),
new GeneralNames(new GeneralName(certName)),
serialNo));
gen.AddExtension(
X509Extensions.ExtendedKeyUsage.Id,
false,
new ExtendedKeyUsage(new ArrayList() { new DerObjectIdentifier("1.3.6.1.5.5.7.3.1") }));
var newCert = gen.Generate(kp.Private);
return DotNetUtilities.ToX509Certificate(newCert).Export(System.Security.Cryptography.X509Certificates.X509ContentType.Pkcs12, "password");
}
}
}
单元测试:
using System.Security.Cryptography;
using System.Security.Cryptography.X509Certificates;
using Microsoft.VisualStudio.TestTools.UnitTesting;
namespace MyApp
{
[TestClass]
public class CertificateGeneratorTests
{
[TestMethod]
public void GenerateCertificate_Test_ValidCertificate()
{
// Arrange
string subjectName = "test";
// Act
byte[] actual = CertificateGenerator.GenerateCertificate(subjectName);
// Assert
var cert = new X509Certificate2(actual, "password");
Assert.AreEqual("CN=" + subjectName, cert.Subject);
Assert.IsInstanceOfType(cert.PrivateKey, typeof(RSACryptoServiceProvider));
}
}
}
最佳答案
澄清一下,X.509 证书不包含私钥。 证书 一词有时被误用于表示证书和私钥的组合,但它们是两个不同的实体。使用证书的全部意义在于或多或少地公开发送它们,而不发送必须保密的私钥。 X509Certificate2
对象可能有一个与之关联的私钥(通过其 PrivateKey
属性),但这只是此类设计的一部分。
在您的第一个 BouncyCaSTLe 代码示例中,newCert
实际上只是证书和 DotNetUtilities.ToX509Certificate(newCert)
仅根据证书构建。
考虑到 PKCS#12 格式需要私钥,我很惊讶以下部分甚至可以工作(考虑到您在不可能知道私钥的证书上调用它):
.Export(System.Security.Cryptography.X509Certificates.X509ContentType.Pkcs12,
"password");
(gen.Generate(kp.Private)
使用私钥签署证书,但不将私钥放入证书中,这没有意义。)
如果您希望您的方法同时返回证书和私钥,您可以:
- 返回一个
X509Certificate2
对象,您在其中初始化了PrivateKey
属性 - 构建一个 PKCS#12 存储并返回其
byte[]
内容(就像它是一个文件一样)。 Step 3 in the link you've sent ( mirror ) 解释了如何构建 PKCS#12 存储。
返回 X.509 证书本身的 byte[]
(DER) 结构将不包含私钥。
如果您主要关心的(根据您的测试用例)是检查证书是否是从 RSA key 对构建的,您可以改为检查其公钥的类型。
关于c# - 是否可以仅使用 C# 以编程方式生成 X509 证书?,我们在Stack Overflow上找到一个类似的问题: https://stackoverflow.com/questions/3770233/