logo标签列表

使用Go创建带有电子邮件地址的证书签名请求(CSR)

sslgox509csr
22

我尝试使用"crypto/x509"包生成证书签名请求（CSR），但是找不到添加"emailAddress"字段到其Subject的方法。

根据文档CertificateRequest，该结构体有一个"EmailAddresses []string"字段，但是它被序列化到SAN扩展中。这是我使用的测试代码：http://play.golang.org/p/OtObaTyuTM

此外，我使用"openssl req"程序创建了一个CSR并进行了比较：

% openssl req -in openssl.csr -noout -text
Certificate Request:
    Data:
        Version: 0 (0x0)
        Subject: C=AU, ST=Some-State, L=MyCity, O=Company Ltd, OU=IT, CN=domain.com/emailAddress=test@email.com
        Subject Public Key Info:
            Public Key Algorithm: rsaEncryption
                Public-Key: (512 bit)
                Modulus:
                    00:a3:05:e3:37:63:f9:8b:d0:37:46:2d:a8:d9:26:
                    4e:be:83:1d:b9:30:88:2b:80:4b:53:cc:7c:01:86:
                    b0:9b:1d:3b:0a:05:c4:56:47:4e:5d:90:f9:5a:29:
                    8b:9a:7f:fa:4b:5e:e4:5d:dd:c6:8b:87:33:c4:b4:
                    fa:6b:b4:67:bd
                Exponent: 65537 (0x10001)
        Attributes:
            a0:00
    Signature Algorithm: sha1WithRSAEncryption
         0b:24:6e:0a:f9:bf:23:d7:41:5f:96:da:78:d1:99:18:fb:d6:
         71:7e:79:f0:02:e9:8a:50:a9:00:32:df:26:14:2f:f4:3e:c4:
         22:c9:5c:4e:79:c1:c2:22:1b:2a:da:79:6f:51:ba:8a:12:63:
         27:02:4a:b3:22:97:59:f7:6e:d6
===============================================================
 % openssl req -in golang.csr -noout -text
Certificate Request:
    Data:
        Version: 0 (0x0)
        Subject: C=AU, O=Company Ltd, OU=IT, L=MyCity, ST=Some-State, CN=domain.com
        Subject Public Key Info:
            Public Key Algorithm: rsaEncryption
                Public-Key: (512 bit)
                Modulus:
                    00:ac:b6:51:5b:53:44:44:20:91:da:01:45:72:49:
                    95:83:78:74:7c:05:f9:a7:77:88:02:3a:23:5f:04:
                    c3:69:45:b9:5a:bb:fd:e7:d3:24:5f:46:14:b8:7d:
                    30:ce:a0:c6:ea:e3:3b:ec:4c:75:24:cc:ce:60:1d:
                    e9:33:57:ae:21
                Exponent: 65537 (0x10001)
        Attributes:
        Requested Extensions:
            X509v3 Subject Alternative Name:
                email:test@email.com
    Signature Algorithm: sha256WithRSAEncryption
         a1:c1:b7:80:a0:f0:c3:b6:44:06:f4:ad:12:3a:67:19:fa:84:
         34:22:2a:d9:56:d9:8b:c9:a4:d0:cf:8d:a1:36:87:fa:75:b7:
         05:40:0a:15:1f:72:61:85:a8:09:bc:f4:13:e6:24:5e:2e:b7:
         99:e3:93:53:4e:2d:d5:0c:22:fc

我认为我应该自己用emainAddress oid构建RawSubject字段，但是我没有找到任何代码示例。 更新： 我已经找到了解决方案。如上所述，必须手动准备RawSubject字段：

subj := pkix.Name{
                CommonName:         cn,
                Country:            []string{c},
                Organization:       []string{o},
                OrganizationalUnit: []string{ou},
                Locality:           []string{l},
                Province:           []string{s},
}
rawSubj := subj.ToRDNSequence()
rawSubj = appendRDNs(rawSubj, []string{e}, oidEmailAddress)
asn1Subj, err := asn1.Marshal(rawSubj)
template := x509.CertificateRequest{
            RawSubject: asn1Subj,
            SignatureAlgorithm: x509.SHA1WithRSA,
}

其中：

  • var oidEmailAddress = asn1.ObjectIdentifier{1, 2, 840, 113549, 1, 9, 1}
  • appendRDNs() 在crypto/x509/pkix中定义（因为其名称不以大写字母开头，因此默认情况下不会导出。您可以将其再次定义为自己的函数并进行复制和粘贴）。
3个回答
29

这是对Jeremy的答案的改进版本，它利用了Go语言自他发表以来新增的一些功能，并且还修复了我认为存在的一个漏洞。（有关详细信息，请参阅我在他帖子中的评论。）

以下是下面代码的可运行的playground链接。

package main

import (
    "crypto/rand"
    "crypto/rsa"
    "crypto/x509"
    "crypto/x509/pkix"
    "encoding/asn1"
    "encoding/pem"
    "os"
)

var oidEmailAddress = asn1.ObjectIdentifier{1, 2, 840, 113549, 1, 9, 1}

func main() {
    keyBytes, _ := rsa.GenerateKey(rand.Reader, 1024)

    emailAddress := "test@example.com"
    subj := pkix.Name{
        CommonName:         "example.com",
        Country:            []string{"AU"},
        Province:           []string{"Some-State"},
        Locality:           []string{"MyCity"},
        Organization:       []string{"Company Ltd"},
        OrganizationalUnit: []string{"IT"},
        ExtraNames: []pkix.AttributeTypeAndValue{
            {
                Type:  oidEmailAddress, 
                Value: asn1.RawValue{
                    Tag:   asn1.TagIA5String, 
                    Bytes: []byte(emailAddress),
                },
            },
        },
    }

    template := x509.CertificateRequest{
        Subject:            subj,
        SignatureAlgorithm: x509.SHA256WithRSA,
    }

    csrBytes, _ := x509.CreateCertificateRequest(rand.Reader, &template, keyBytes)
    pem.Encode(os.Stdout, &pem.Block{Type: "CERTIFICATE REQUEST", Bytes: csrBytes})

}

主要差异在于：

  • 不再将主题序列化并使用RawSubject字段，而是将电子邮件地址字段添加到pkix.Name ExtraNames切片中（在Go 1.5中添加）。
  • 电子邮件地址需要被编码为ASN.1的IA5String，而不是PrintableString或UTF8String。这就是为什么我们需要使用asn1.RawValue的原因。
  • 不要将电子邮件地址添加到CertificateRequest的EmailAddresses字段中，该字段设置了一个SubjectAltName（SAN）。那些更适用于签名电子邮件之类的东西。在TLS证书的上下文中，应该将SAN用于替代有效的主机名和IP地址。

（更新2018-06-14：Value已从string更改为asn1.RawValue。否则，OpenSSL会拒绝生成的CSR，因为emailAddress的ASN.1序列化编码需要是IA5String，而不是PrintableString或UTF8String。）

22

我知道Mephist回答了他自己的问题，但是他留下了一些需要拼凑起来的东西。因此，为了完整性（并且因为我在过去两年里已经两次着陆到这里……），这里提供了一个完整的工作示例：https://play.golang.org/p/YL_qfPe4Zz

package main

import (
    "crypto/rand"
    "crypto/rsa"
    "crypto/x509"
    "crypto/x509/pkix"
    "encoding/asn1"
    "encoding/pem"
    "os"
)

var oidEmailAddress = asn1.ObjectIdentifier{1, 2, 840, 113549, 1, 9, 1}

func main() {
    keyBytes, _ := rsa.GenerateKey(rand.Reader, 1024)

    emailAddress := "test@example.com"
    subj := pkix.Name{
        CommonName:         "example.com",
        Country:            []string{"AU"},
        Province:           []string{"Some-State"},
        Locality:           []string{"MyCity"},
        Organization:       []string{"Company Ltd"},
        OrganizationalUnit: []string{"IT"},
    }
    rawSubj := subj.ToRDNSequence()
    rawSubj = append(rawSubj, []pkix.AttributeTypeAndValue{
        {Type: oidEmailAddress, Value: emailAddress},
    })

    asn1Subj, _ := asn1.Marshal(rawSubj)
    template := x509.CertificateRequest{
        RawSubject:         asn1Subj,
        EmailAddresses:     []string{emailAddress},
        SignatureAlgorithm: x509.SHA256WithRSA,
    }

    csrBytes, _ := x509.CreateCertificateRequest(rand.Reader, &template, keyBytes)
    pem.Encode(os.Stdout, &pem.Block{Type: "CERTIFICATE REQUEST", Bytes: csrBytes})

}
今天有一种更简单的方法可以将项目添加到pkix.Name中，而无需编组ASN.1并替换RawSubject：将pkix.AttributeTypeAndValue添加到ExtraNames字段中。这是在Go 1.5中添加的。更新的工作示例：https://play.golang.org/p/znBDXC7C978 - Joe Shaw
1
此外，我认为将电子邮件地址放入“EmailAddresses”字段并不是正确的做法。这将把它添加为“SubjectAltName” - 这些用于指定证书有效的DNS名称和IP地址。根据我的经验，我从未见过将电子邮件地址放在CSR中的情况。（它更适用于像S/MIME这样的签名电子邮件。） - Joe Shaw
0

只需要将它放在CommonName中吗？

CommonName:         "domain.com/emailAddress=test@email.com",

主题：C=AU，O=公司有限公司，OU=IT，L=我的城市，ST=某州，CN=domain.com/emailAddress=test@email.com
2
我已经检查了你的解决方案。根据openssl源代码，“CN”和“emailAddress”字段有它们专用的oid（分别为“2.5.4.3”和“1.2.840.113549.1.9.1”），因此仅将电子邮件附加到CommonName是错误的方法。 - mephist
网页内容由stack overflow 提供, 点击上面的
可以查看英文原文，
原文链接