NET8部署Kestrel服务HTTPS深入解读TLS协议之Certificate证书

news2024/9/28 19:25:14

Certificate证书

Certificate称为数字证书。数字证书是一种证明身份的电子凭证，它包含一个公钥和一些身份信息，用于验证数字签名和加密通信。数字证书在网络通信、电子签名、认证授权等场景中都有广泛应用。其特征如下：

  • 由权威机构颁发，人们可以在互联网上用来识别对方的身份。
  • 证书遵循国际标准 ITUTX.509，主要包括下面的内容：
    • 版本信息
    • 序列号，每个证书都有唯一的序列号
    • 使用的签名算法
    • 签发机构（命名规则一般采用 X.500格式）
    • 有效期
    • 证书所有人的名称
    • 证书所有人的公钥 public key
    • 证书发行者的签名

证书等级

  • Root Cartificate：根证书

根证书：签名(Root CA's signature)是用根私钥(Root CA's private key)签的。所以验证根证书签名(Root CA's signature)要用根公钥(Root CA's public key)才能验证通过。这种情况称为自签名(self-sign)。

  • Intermediate Cartificate：中间证书

中介证书是被根证书签名的证书，是被根证书的私钥进行签名的，因此要验证中介证书也需要使用根公钥。

  • End-entity Certificate：终端实体证书

终端实体证书是有中介证书签发的；使用中介证书对终端实体进行认证的目的是为了减少根证书签名的负担，相当于使用一个中介来代替根实行认证的权利。

证书链

在RFC5280中，证书链或信任链被定义为“证书路径”。换句话说，信任链是指您的SSL证书以及它如何链接回受信任的证书颁发机构。为了使SSL证书可信，它必须可以追溯到它被签署的信任根，这意味着链中的所有证书——终端实体证书、中间证书和根证书，都需要得到适当的信任。信任链分为三个部分：

Windows证书管理

通过Win+R运行：mmc确定，文件->添加/删除管理单元，进行配置证书管理。

证书工具

证书的管理工具有很多，下面列举几种常用的工具：

  • PowerShell CLI：New-SelfSignedCertificate
  • CMD CLI：Certutil
  • X Certificate and Key management
  • CMD CLI：OpenSSL
  • JDK CTL：keytool

New-SelfSignedCertificate

在Windows中，通过PowerShell CLI：New-SelfSignedCertificate进行创建自定义签名证书。说实话，笔者翻烂了官方文档对该工具使用介绍挺粗糙的，一堆的坑准备好踩吧。

1、创建X509证书链

# PowerShell环境（以管理员身份运行）

# 默认存储位置:cert:LocalMachine\My【本地计算机\个人】
#准备条件
$pfxPassword = ConvertTo-SecureString -String "[pfx加密]" -Force -AsPlainText
$pfxFilePath = "[pfx文件路径]"
$cerFilePath = "[cer文件路径]"

# 语法结构
New-SelfSignedCertificate `
-Subject [颁发给] `
-DnsName [使用者可选名称(Web域名)] `
-NotAfter (Get-Date).AddYears(20) `
-CertStoreLocation "cert:LocalMachine\My" `
-FriendlyName "[友好名称]" `
-HashAlgorithm SHA256 `
-KeyUsageProperty All `
-KeyUsage CertSign, CRLSign, DigitalSignature
-TextExtension @("2.5.29.19={text}CA=1&pathlength=1")

# 可缺省-Subject参数时，生成证书时默认取DnsName信息为[颁发给]者。
# 可缺省 -KeyAlgorithm和-KeyLength参数时，默认为RSA 2048。
# 可缺省 -NotBefore参数时，默认为从系统当前时间起始。
# 可缺省 -NotAfter参数时，生成证书时默认有效期为1年。
# 可缺省-FriendlyName参数时，生成证书时[友好名称]为空。
# 可缺省 -HashAlgorithm参数时，默认值SHA256。
# 可缺省 -KeyUsageProperty参数，指定私钥的键用法属性的键用法。默认值None。(使用底层KSP的默认值)

# 必须 -KeyUsage参数[密钥用法]，指定在证书的密钥使用扩展名中设置的密钥用法。可接受的参数项：
# CertSign：证书签名
# CRLSign：CRL签名
# DataEncipherment：数据加密
# DecipherOnly
# DigitalSignature：数字签名
# EncipherOnly
# KeyAgreement
# KeyEncipherment：钥匙加密
# None：缺省时无
# NonRepudiation

# 必须 -TextExtension参数[目的用途]，指定证书扩展数组为字符串，每个字符串必须采用OID对象标识符。
# 所有颁发的策略 (2.5.29.32.0)
# 客户端身份验证 (1.3.6.1.5.5.7.3.2)
# 服务器身份验证 (1.3.6.1.5.5.7.3.1)
# BitLocker驱动器加密 (1.3.6.1.4.1.311.67.1.1)
# 加密文档系统 (1.3.6.1.4.1.311.10.3.4)
# 文档签名 (1.3.6.1.4.1.311.10.3.12)
# 安全电子邮件 (1.3.6.1.5.5.7.3.4)
# 语法: TextExtension @(2.5.29.37={text}{oid},{oid})
# Example: TextExtension @("2.5.29.37={text}1.3.6.1.5.5.7.3.1")
(1) Root根证书

根证书完全不需要-Subject [颁发给]和-DnsName [使用者可选名称(Web域名)]，只需要起个友好名称做为颁发者，示例如下：

# Root certificate generation
 New-SelfSignedCertificate `
-Subject "Kingser RSA Root Certificate Authority 2022" `
-NotAfter (Get-Date).AddYears(30) `
-CertStoreLocation "cert:LocalMachine\My" `
-FriendlyName "Kingser RSA Root Certificate Authority 2022" `
-KeyUsageProperty All `
-KeyUsage CertSign, CRLSign, DigitalSignature `
-TextExtension @("2.5.29.19={text}CA=1&pathlength=1")

# Gets certificate generation the path
$certificatePath = ( Get-ChildItem -Path cert:\LocalMachine\My\"[指纹码]" )

# create temporary certificate path
$tmpPath = "E:\Certificate"
If(!(test-path $tmpPath))
{
New-Item -ItemType Directory -Force -Path $tmpPath
}

# set certificate password here
$pfxPassword = ConvertTo-SecureString -String "[pfx加密]" -Force -AsPlainText
$pfxFilePath = "E:\Certificate\rootCert.pfx"
$cerFilePath = "E:\Certificate\rootCert.cer"

具体实操如下 

 这里有几个坑，需要特别说明一下：

a. # Root certificate generation部分

由于证书生成时，一般默认会指定存放在：cert:LocalMachine\My或cert:CurrentUser\My处。

当执行成功时，系统自动会产生证书的Thumbprint指纹码(如上图)。同时，系统在My和CA两处都会产生该证书，也就是个人证书和中间证书两处入口。不过经检查发现，它指向的仍是同一证书(指纹码相同)，但唯独Root根证书不会产生，这是什么原因呢？

经笔者反复测试后，在My和CA两处入口时，它的下级证书创建时才能成功，不然会提示找不到父级证书，导致失败：

 换句话说，-Signer参数似乎只能参照My或CA处的证书，Root受信任区的不能直接拿来生成证书链的子证书。此处微软文档翻烂了笔者都没找到相关资料，巨坑。

b. # Gets certificate generation the path部分

$rootCertPath通过Get-ChildItem -Path cert:\LocalMachine\XX的证书对象，当我把证书注册到Root信任区就无法调用，不可用。

那它为啥会在My和CA两处入口都引用该证书呢？其实笔者也没敢说整明白了。只能从经验上判断当生成证书为子证书时，系统逻辑有可能优先判断该证书是哪个入口开始检索。比如中间证书，所参照父级证书位置当优先从C入口开始检查是否有，没有的话再检索My入口处。不一定正确仅供参考。

c. # create temporary certificate path部分

导出时，可设定一个临时存储证书路径（可选）。当配置了该存放路径时，导出文件变量可以这样：

$pfxFilePath = $tmpPath +"\rootCert.pfx"
$cerFilePath = $tmpPath +"\rootCert.cer"
(2) CA中间证书

中间证书的生成，关键性参数是-Signer参照父级证书，可以设定DnsName域名：

# Gets certificate generation the path
$parentCertPath =( Get-ChildItem -Path cert:\LocalMachine\My\"[指纹码]")

# Intermediate certificate generation
New-SelfSignedCertificate `
-Subject [颁发给] `
-DnsName [域名] `
-Signer $parentCertPath `
-NotAfter (Get-Date).AddYears(20) `
-CertStoreLocation "cert:LocalMachine\My" `
-FriendlyName "[友好名称]" `
-KeyUsageProperty All `
-KeyUsage CertSign, CRLSign, DigitalSignature `
-TextExtension @("2.5.29.19={text}CA=1&pathlength=1")

# set certificate password here
$intermediateCer =( Get-ChildItem -Path cert:\LocalMachine\My\"[指纹码]")
$pfxFilePath = "E:\Certificate\intermediateCert.pfx"
$cerFilePath = "E:\Certificate\intermediateCert.cer"

# Export PfxCertificate the file
$intermediateCer | Export-PfxCertificate -FilePath $pfxFilePath -Password $pfxPassword
# Export Certificate the file
$intermediateCer | Export-Certificate -FilePath $cerFilePath

当然需要注意，-NotAfter参数到期时间，肯定是小于根证书年限的。 具体实操如下 

(3) My终端实体证书

终端证书的生成，同样关键性参数是-Signer参照父级证书，设定DnsName域名基本和中间证书相似。唯一不同的则是-TextExtension参数[目的用途]。比如双向验证时，客户端证书则是提交服务器身份验证，服务端提交客户端身份验证则称之为双向。单向验证仅需要客户端提交服务器身份验证就可以。

它还可以用文件存储系统加密验证，驱动程序签名验证以及文档签名验证等。

# Gets certificate generation the path
$intermediateCer =( Get-ChildItem -Path cert:\LocalMachine\My\"[指纹码]")

# End-Entity certificate generation
New-SelfSignedCertificate `
-Subject [颁发给] `
-DnsName [二级域名] `
-Signer $intermediateCer `
-NotAfter (Get-Date).AddYears(3) `
-CertStoreLocation "cert:LocalMachine\My" `
-FriendlyName "[友好名称]" `
-KeyUsageProperty All `
-KeyUsage DigitalSignature, KeyEncipherment, DataEncipherment `
-TextExtension @("2.5.29.37={text}1.3.6.1.5.5.7.3.1")

# set certificate password here
$clientCer =( Get-ChildItem -Path cert:\LocalMachine\My\"[指纹码]")
$pfxFilePath = "E:\Certificate\clientCert.pfx"
$cerFilePath = "E:\Certificate\clientCert.cer"

# Export PfxCertificate the file
$clientCer | Export-PfxCertificate -FilePath $pfxFilePath -Password $pfxPassword
# Export Certificate the file
$clientCer | Export-Certificate -FilePath $cerFilePath

具体实操如下 

 此处，仍可再单独配置[客户端身份验证]证书，以备服务器部署验证来源客户端身份。在此就不展开详述，感兴趣的朋友可自行适应创建。

 2、证书部署及管理

#准备条件
$cerFilePath = "E:\Certificate\rootCert.cer"

# 导入Root根证书
Import-Certificate -FilePath $cerFilePath -CertStoreLocation Cert:\LocalMachine\Root
# Cert:\LocalMachine\Root是本地计算机根
# Cert:\CurrentUser\Root是当前用户根

# 检查并移除重复引用的证书
# 检查cert:\LocalMachine\My的重复的Root和CA证书，并移除

# 先检查出要移除的证书指纹码，然后通过Remove-Item进行移除。Remove-Item 参数-DeleteKey为连同私钥一并移除(慎用)
Get-ChildItem -Path cert:\LocalMachine\My
Remove-Item -Path cert:\LocalMachine\My\[指纹码]

# 可以通过检索DnsName值，进行移除
Get-ChildItem -Path cert:\LocalMachine\My -DnsName *xxx* | Remove-Item

 3、Certutil CLI工具

Certutil 是 Windows 操作系统上预装的工具，可用于 校验文件MD5、SHA1、SHA256，下载恶意文件和免杀。它是一个 CLI 程序，可用于转储和显示证书颁发机构（CA），配置信息，证书服务， CA 组件的备份和还原以及验证证书、密钥对和证书链，它作为证书服务的一部分安装。

实际上，Certutil用途非常广泛，它即可以作为渗透测试工具，也可以作为Windows证书管理的运维工具。

Certutil的主要功能包括查看证书、导出证书、导入证书、验证证书链、生成密钥对等。它通常被系统管理员和安全专家用于管理和维护证书、密钥和证书颁发机构（CA）相关的任务。

Certutil命令的设计旨在提供一种灵活而强大的方式来处理数字证书和密钥，以确保系统的安全性和可信度。

可在命令提示符下输入"certutil /?"来查看完整的命令参数列表和使用说明。

具体详解，请见微软官方文档。

# 检查证书存储，列出本地计算机或用户的证书存储中的证书
certutil -v -store my
certutil -v -store -user my

# 从文件查看证书详细内容
certUtil -v -dump rootCert.cer

 Certificate and Key management

XCA是一个用于管理非对称密钥(如RSA或DSA)的接口。它被用作创建和签署证书的小型CA。它使用OpenSSL库进行加密操作。

开源地址：GitHub - chris2511/xca: X Certificate and Key management，官方安装包：Download

注意它可以直接通过Microsoft Store微软商店进行安装，也可以手动下载MSI包来使用。

最新版本为xca-2.6.0-win64.msi。

1、新建数据库

新使用该工具时，需要新建一个xdb(XCA Database)数据库用来存储证书信息，需要设置一个数据库密码。

2、X509证书构造

序号属性名属性学名

Windows

表示

XCA

表示

描述说明
1Id序列号--
2country Name国家代码--
3stateOrProvince Name州或省名--
4locality Name地方名--
5organization Name组织名--
6organizationUnit Name单位名--
7common Name通用名(*)

颁发者

使用者

内部名称
8email Address邮件地址--
9-签名状态UnusedBits
10-私钥(*)HashAlgorithmRSA 2048
11-

有效期

从...到

NotBefore

NotAfter

12-指纹Thumbprint

[待续]

 参考文档

  • 在PowerShell中创建证书
  • 如何：创建开发期间使用的临时证书
  • 关于证书提供程序
  • Certificate 提供程序
  • 网络安全 / SSL,X.509,PEM,DER,CRT,CER,KEY,CSR,P12 作用及区别

本文来自互联网用户投稿，该文观点仅代表作者本人，不代表本站立场。本站仅提供信息存储空间服务，不拥有所有权，不承担相关法律责任。如若转载，请注明出处：http://www.coloradmin.cn/o/1948944.html

如若内容造成侵权/违法违规/事实不符，请联系多彩编程网进行投诉反馈，一经查实，立即删除！

相关文章

Minos 多主机分布式 docker-compose 集群部署

Minos 多主机分布式 docker-compose 集群部署

参考 docker-compose搭建多主机分布式minio - 会bk的鱼 - 博客园 (cnblogs.com) Minio 是个基于 Golang 编写的开源对象存储套件，虽然轻量，却拥有着不错的性能 中文地址：MinIO | 用于AI的S3 & Kubernetes原生对象存储 官网地址&#xf…
阅读更多...
数字看板：跨行业需求下的创新与升级

数字看板：跨行业需求下的创新与升级

在当今这个数据驱动的时代，数字看板作为信息展示与决策支持的重要工具，正逐步渗透到各行各业之中。从智慧城市到智能制造，从金融分析到医疗健康，数字看板以其直观、动态、高效的特点，成为了连接数据与决策者的桥梁。本…
阅读更多...
C# 将字符串数组以树型结构化

C# 将字符串数组以树型结构化

例如字符串数组： string[] arr { "1","3-4-5-6-7", "2","3-4","3-4-5","3-4-5-6", "3", "6", "4", "6-1", "6-2", "5", "6-1-1&…
阅读更多...
c++如何理解多态与虚函数

c++如何理解多态与虚函数

目录 **前言****1. 何为多态**1.1 **编译时多态**1.1.1 函数重载1.1.2 模板 **1.2 运行时多态****1.2.1 虚函数****1.2.2 为什么要用父类指针去调用子类函数** **2. 注意****2.1 基类的析构函数应写为虚函数****2.2 构造函数不能设为虚函数** **本文参考** 前言 在学习 c 的虚…
阅读更多...
Tableau入门|数据可视化与仪表盘搭建

Tableau入门|数据可视化与仪表盘搭建

原视频链接（up:戴戴戴师兄），文章为笔者的自学笔记，用于复习回顾，原视频下方有原up整理的笔记，更加直观便捷。因为视频中间涉及的细节较多，建议一边操作，一边学习。 整体介绍 可视化…
阅读更多...
生成式AI：对话系统（Chat）与自主代理（Agent）的和谐共舞

生成式AI：对话系统（Chat）与自主代理（Agent）的和谐共舞

生成式AI：对话与行动的和谐共舞 我们正站在一个令人激动的时代门槛上——生成式AI技术飞速发展，带来了无限的可能性。一个关键问题浮现：AI的未来是对话系统（Chat）的天下，还是自主代理（Agent&am…
阅读更多...
非凸T0算法，如何获取超额收益？

非凸T0算法，如何获取超额收益？

什么是非凸 T0 算法？ 非凸 T0 算法基于投资者持有的股票持仓，利用机器学习等技术，短周期预测，全自动操作，抓取行情波动价差，增厚产品收益。通过开仓金额限制、持仓时长控制等，把控盈亏风险&…
阅读更多...
【Ant Design Pro】快速上手

【Ant Design Pro】快速上手

初始化 初始化脚手架：快速开始 官方默认使用 umi4，这里文档还没有及时更新（不能像文档一样选择 umi 的版本），之后我选择 simple。 然后安装依赖。 在 package.json 中： "start": "cross-e…
阅读更多...
java-数据结构与算法-02-数据结构-05-栈

java-数据结构与算法-02-数据结构-05-栈

文章目录 1. 栈1. 概述2. 链表实现3. 数组实现4. 应用 2. 习题E01. 有效的括号-Leetcode 20E02. 后缀表达式求值-Leetcode 120E03. 中缀表达式转后缀E04. 双栈模拟队列-Leetcode 232E05. 单队列模拟栈-Leetcode 225 1. 栈 1. 概述 计算机科学中，stack 是一种线性的…
阅读更多...
学习Numpy的奇思妙想

学习Numpy的奇思妙想

学习Numpy的奇思妙想 本文主要想记录一下，学习 numpy 过程中的偶然的灵感，并记录一下知识框架。 推荐资源：https://numpy.org/doc/stable/user/absolute_beginners.html 💡灵感 为什么 numpy 数组的 shape 和 pytorch 是 tensor 是…
阅读更多...
WordPress 后台开发技巧：向文章发布页右侧添加自定义菜单项

WordPress 后台开发技巧：向文章发布页右侧添加自定义菜单项

案例图片 这个案例向你介绍了如何在文章发布页的右侧边栏增加一个新的自定义菜单项。具体用它实现什么功能，就看你的需要了。 代码 function add_custom_menu_item() { add_meta_box(custom_menu_item, 这里是菜单项名称, display_custom_menu_item, post, side, …
阅读更多...
昇思MindSpore学习入门-高阶自动微分

昇思MindSpore学习入门-高阶自动微分

mindspore.ops模块提供的grad和value_and_grad接口可以生成网络模型的梯度。grad计算网络梯度，value_and_grad同时计算网络的正向输出和梯度。本文主要介绍如何使用grad接口的主要功能，包括一阶、二阶求导，单独对输入或网络权重求导&#xff…
阅读更多...
代码随想录算法训练营Day 63| 图论 part03 | 417.太平洋大西洋水流问题、827.最大人工岛、127. 单词接龙

代码随想录算法训练营Day 63| 图论 part03 | 417.太平洋大西洋水流问题、827.最大人工岛、127. 单词接龙

代码随想录算法训练营Day 63| 图论 part03 | 417.太平洋大西洋水流问题、827.最大人工岛、127. 单词接龙 文章目录 代码随想录算法训练营Day 63| 图论 part03 | 417.太平洋大西洋水流问题、827.最大人工岛、127. 单词接龙17.太平洋大西洋水流问题一、DFS二、BFS三、本题总结 82…
阅读更多...
【在 Windows 电脑上使用 Git Bash 将 SSH 密钥与 GitLab 建立连接】

【在 Windows 电脑上使用 Git Bash 将 SSH 密钥与 GitLab 建立连接】

※ ssh-keygen -t rsa -b 4096 -C “your_emailexample.com”
阅读更多...
解析capl文件生成XML Test Module对应的xml工具

解析capl文件生成XML Test Module对应的xml工具

之前一直用的CAPL Test Module来写代码，所有的控制都是在MainTest()函数来实现的，但是有一次，代码都写完了，突然需要用xml的这种方式来实现，很突然，之前也没研究过，整理这个xml整的一身汗&#…
阅读更多...
【1】CPU飙升到200%以上问题汇总

【1】CPU飙升到200%以上问题汇总

原链接 【1】CPU飙升到200%以上问题汇总 CPU飙升到200%以上是生成中常见的问题 注意： 1. linux的cpu使用频率是根据cpu个数和核数决定的 2. top，然后你按一下键盘的1，这就是单个核心的负载，不然是所有核心的负载相加，…
阅读更多...
Golang | 腾讯一面

Golang | 腾讯一面

go的调度 Golang的调度器采用M:N调度模型，其中M代表用户级别的线程(也就是goroutine)，而N代表的事内核级别的线程。Go调度器的主要任务就是N个OS线程上调度M个goroutine。这种模型允许在少量的OS线程上运行大量的goroutine。 Go调度器使用了三种队列来…
阅读更多...
基于STM32瑞士军刀--【FreeRTOS开发】学习笔记（二）|| 堆 / 栈

基于STM32瑞士军刀--【FreeRTOS开发】学习笔记（二）|| 堆 / 栈

堆和栈 1. 堆 堆就是空闲的一块内存，可以通过malloc申请一小块内存，用完之后使用再free释放回去。管理堆需要用到链表操作。 比如需要分配100字节，实际所占108字节，因为为了方便后期的free，这一小块需要有个头部记录…
阅读更多...
2024年7月25日（Git gitlab以及分支管理 ）

2024年7月25日（Git gitlab以及分支管理 ）

分布式版本控制系统 一、Git概述 Git 是一种分布式版本控制系统,用于跟踪和管理代码的变更。它是由Linus Torvalds创建的,最 初被设计用于Linux内核的开发。Git允许开发人员跟踪和管理代码的版本,并且可以在不同的开 发人员之间进行协作。 Github 用的就是Git系统来管理它们的…
阅读更多...
JVM面试题之内存区域、类加载篇

JVM面试题之内存区域、类加载篇

文章目录 引言JVM是什么？1. JVM内存划分2. 对象如何在JVM中创建2.1 内存分配2.2 创建对象步骤 3. JVM类加载流程3.1 双亲委派 总结 引言 Java开发人员在面试中基本都会被问到关于JVM的问题。想要成为高级的开发人员，了解和学习Java运行的原理和JVM是必不…
阅读更多...
推荐文章
最新文章

Copyright @ 2022~2023