我正在尝试通过使用X509证书进行客户端身份验证来实现多点连接通信安全。
为此,我使用 node-forge 在服务器中生成客户端证书。首先,创建X509,然后将其转换为返回给客户端的PKCS12 base64 字符串。
这基本上就是我正在使用的代码:
var username = "client1"
// Create key pair
var pki = forge.pki;
var keys = pki.rsa.generateKeyPair(2048);
var cert = pki.createCertificate();
// Creating the certificate
cert.publicKey = keys.publicKey;
cert.serialNumber = '01'; // TODO : generate random number and have a little custom algo to verify it !!
cert.validity.notBefore = new Date();
cert.validity.notAfter = new Date();
cert.validity.notAfter.setTime(cert.validity.notBefore.getTime() + msWeek);
var subject = [{
name : "commonName",
value : username
}, {
name : "organizationName",
value : "My Company"
}, {
name : "organizationalUnitName",
value : "MU"
}, {
name : "stateOrProvinceName",
value : "Ile-de-France"
}, {
name : "countryName",
value : "FR"
}, {
name : "localityName",
value : "Paris"
}, {
name : "emailAddress",
value : "hello@world.com"
} ];
var issuer = [{
name : "commonName",
value : "MPC App"
}, {
name : "organizationName",
value : "My Company"
}, {
name : "organizationalUnitName",
value : "MU"
}, {
name : "stateOrProvinceName",
value : "Ile-de-France"
}, {
name : "countryName",
value : "FR"
}, {
name : "localityName",
value : "Paris"
}, {
name : "emailAddress",
value : "hello@world.com"
} ];
cert.setSubject(subject);
cert.setIssuer(issuer);
// Extensions
cert.setExtensions([{
name: 'basicConstraints',
cA : true
} , {
name : 'keyUsage',
digitalSignature : true,
keyCertSign : true,
nonRepudiation : true,
keyEncipherment : true,
dataEncipherment : true
}, {
name : 'extKeyUsage',
clientAuth : true,
serverAuth : false,
codeSigning : true,
emailProtection : false,
timeStamping : true
}, {
name : 'nsCertType',
client : true,
server : false,
email : false,
objsign : true,
sslCA : false,
emailCA : false,
objCA : false
}]);
cert.sign(keys.privateKey);
var asn1Cert = pki.certificateToAsn1(cert);
// Create PKCS#12 from the certificate and encode to base64 string
var p12Asn1 = forge.pkcs12.toPkcs12Asn1(keys.privateKey , cert, "iPhone");
var p12Der = forge.asn1.toDer(p12Asn1).getBytes();
return forge.util.encode64(p12Der);
但是,当我将其导入 iOS 应用程序时,运行时不断崩溃,告诉我它无法通过返回 errSecDecode。
我不知道代码的哪一部分导致了此错误,尽管我怀疑扩展是这些问题的根源,顺便说一句,我真的不知道什么适合最适合我的用例(两个客户端相互验证自己以便与MultiPeer Connectivity进行通信)。
我还想知道将 PKCS#12 编码为 base64 字符串 时是否做错了什么?
如果有帮助,这里是我在从服务器恢复 Base64 字符串后在 iOS 端导入 PKCS#12 的代码。
private func generateIdentity (base64p12 : String, password : String?) {
print("gen id")
let p12KeyFileContent = NSData(base64EncodedString: base64p12, options: NSDataBase64DecodingOptions.IgnoreUnknownCharacters)
if (p12KeyFileContent == nil) {
NSLog("Cannot read PKCS12 data")
return
}
let options = [String(kSecImportExportPassphrase):password ?? ""]
var citems: CFArray? = nil
let resultPKCS12Import = withUnsafeMutablePointer(&citems) { citemsPtr in
SecPKCS12Import(p12KeyFileContent!, options, citemsPtr)
}
if (resultPKCS12Import != errSecSuccess) {
print("resultPKCS12Import :", resultPKCS12Import)
return
}
let items = citems! as NSArray
let myIdentityAndTrust = items.objectAtIndex(0) as! NSDictionary
let identityKey = String(kSecImportItemIdentity)
identity = myIdentityAndTrust[identityKey] as! SecIdentityRef
hasCertificate = true
print("cert cre", identity)
}
提前谢谢
编辑: 通过使用node-forge解码base64字符串,我可以看到创建证书时输入的信息,而且它们打印得很好,没有渲染不良的字符。
现在我问自己,iOS 是否故意抛出此错误,以防止我使用不是使用其特定工具(Apple Keychain,如果我没记错的话)创建的证书。
最佳答案
显然,iOS 的安全框架要求 PKCS#12 使用 TripleDES 加密算法。
因此,替换行:
var p12Asn1 = forge.pkcs12.toPkcs12Asn1(keys.privateKey , cert, "iPhone");
与:
var p12Asn1 = forge.pkcs12.toPkcs12Asn1(keys.privateKey , cert, "iPhone", {algorithm : '3des'});
就像一个魅力。
此时我仍然不明白为什么苹果的文档在这个主题上如此不详尽:/。
关于node.js - 如何使用 node-forge 创建与 iOS 的多点连接兼容的 PKCS12?,我们在Stack Overflow上找到一个类似的问题: https://stackoverflow.com/questions/38567748/