[信息安全] 05 X.509 公钥证书的格式标准

Bertha 。 2022-09-04 13:44 199阅读 0赞

[X.509][]是[\# 公钥证书][Link 1]的格式标准, 广泛用于TLS/SSL安全通信或者其他需要认证的环境中。X.509证书可以由[\# CA][CA]颁发，也可以自签名产生。

# 1 Overview \{\#1-overview\} #

X.509证书中主要含有`公钥`、`身份信息`、`签名信息`和`有效性信息`等信息。这些信息用于构建一个验证公钥的体系，用来保证客户端得到的公钥正是它期望的公钥。

1.  `公钥` : 非对称密码中的公钥。公钥证书的目的就是为了在互联网上分发公钥。
2.  `身份信息` : 公钥对应的私钥持有者的信息，域名以及用途等。
3.  `签名信息` : 对公钥进行签名的信息，提供公钥的验证链。可以是CA的签名或者是自签名，不同之处在于CA证书的根证书大都内置于操作系统或者浏览器中，而自签名证书的公钥验证链则需要自己维护（手动导入到操作系统中或者再验证流程中单独提供自签名的根证书）。
4.  `有效性信息`：证书的有效时间区间，以及[\# CRL][CRL]等相关信息。

X.509证书的标准规范[RFC5280][]中详细描述了证书的[\# 1.1 Encoding Format][1.1 Encoding Format]和[\# 1.2 Structure][1.2 Structure]。

## 1.1 Encoding Format \{\#1-1-encoding-format\} ##

1.  [\# DER][DER]格式 : `二进制`格式。
2.  [\# PEM][PEM]格式 : `ASCII文本`格式。在DER格式或者其他二进制数据的基础上，使用[base64][]编码为ASCII文本，以便于在仅支持ASCII的环境中使用`二进制的DER编码的数据`。

## 1.2 Structure \{\#1-2-structure\} ##

一个具体的X.509 v3数字证书结构大致如下 :

Certificate
      Version Number
      Serial Number
      Signature Algorithm ID
      Issuer Name
      Validity period
      Not Before
      Not After
      Subject name
      Subject Public Key Info
      Public Key Algorithm
      Subject Public Key
      Issuer Unique Identifier (optional)
      Subject Unique Identifier (optional)
      Extensions (optional)
    ...
    Certificate Signature Algorithm
    Certificate Signature

# 2 File Extension \{\#2-file-extension\} #

X.509有很多种常用的扩展名。不过这些扩展名有时候也是其他类型文件的扩展名，也就是说具有这个扩展名的文件并不一定是X.509证书。也可能只是保存了私钥的文件。

1.  `.pem` : PEM格式。
2.  `.key` : PEM格式的[私钥][Link 2]文件。
3.  `.pub` : PEM格式的[公钥][Link 2]文件。
4.  `.crt` : PEM格式的[\# 公钥证书][Link 1]文件，也可能是DER。
5.  `.cer` : DER格式的[\# 公钥证书][Link 1]文件，也可能是PEM。
6.  `.crs` : PEM格式的[\# CSR][CSR]文件，也可能是DER。

# 3 Reference \{\#reference\} #

## 3.1 公钥证书 \{\#public-key-certificate\} ##

`Public Key Certificate`=`公钥证书`。

参考资料 : [https://en.wikipedia.org/wiki/Public\_key\_certificate][https_en.wikipedia.org_wiki_Public_key_certificate]

## 3.2 CA \{\#certificate-authority\} ##

`CA`=`Certificate Authority`=`证书颁发机构`。

参考资料 : [https://en.wikipedia.org/wiki/Certificate\_authority][https_en.wikipedia.org_wiki_Certificate_authority]

## 3.3 DER \{\#distinguished-encoding-rules\} ##

`DER`=`Distinguished Encoding Rules`是[\# X.690][X.690]标准中的一种二进制编码格式。

下面的文件是[https://google.com][https_google.com]所使用的DER编码的二进制公钥证书文件(由于是二进制，故而显示乱码)。  
\{ \{\}\}

参考资料 : [https://en.wikipedia.org/wiki/X.690\#DER\_encoding][https_en.wikipedia.org_wiki_X.690_DER_encoding]。

## 3.4 PEM \{\#privacy-enhanced-mail\} ##

`PEM`=`Privacy Enhanced Mail`=`隐私增强邮件`。

PEM是一种事实上的标准文件格式，采用[base64][]来编码密钥或证书等其他二进制数据，以便在仅支持`ASCII`文本的环境中使用`二进制数据`。PEM在[RFC7468][]中被正式标准化。具体格式如下:

-----BEGIN label 1-----
    base64 string...
    -----END label 1-----
    -----BEGIN label 2-----
    base64 string...
    -----END label 2-----

其中`label 1`和`label 2`可以有`1~N`个。常用的`label`有([https://tools.ietf.org/html/rfc7468\#section-4][https_tools.ietf.org_html_rfc7468_section-4]):

1.  `CERTIFICATE` : 公钥证书文件 。
2.  `CERTIFICATE REQUEST` : CSR请求证书文件。
3.  `PRIVATE KEY` : 私钥文件。
4.  `PUBLIC KEY` : 公钥文件。
5.  `X509 CRL` : X509证书吊销列表文件。

下面的文件是上面的`google.com.der.cer`的PEM编码形式 :  
\{ \{\}\}

参考资料 :

1.  [https://en.wikipedia.org/wiki/Privacy-Enhanced\_Mail][https_en.wikipedia.org_wiki_Privacy-Enhanced_Mail]
2.  [https://tools.ietf.org/html/rfc7468][RFC7468]

## 3.5 CSR \{\#certificate-signing-request\} ##

`CSR`=`Certificate Signing Request`=`证书签名请求`。

参考资料 : [https://en.wikipedia.org/wiki/Certificate\_signing\_request][https_en.wikipedia.org_wiki_Certificate_signing_request]

## 3.6 CRL \{\#certificate-revocation-list\} ##

`CRL`=`Certificate Revocation List`=`证书吊销列表`。

参考资料 : [https://en.wikipedia.org/wiki/Certificate\_revocation\_list][https_en.wikipedia.org_wiki_Certificate_revocation_list]

## 3.7 X.690 \{\#x690\} ##

[X.690][X.690 1]是一个ITU-T标准，规定了几种[ASN.1][]编码格式:

`BER`=`Basic Encoding Rules` : [https://en.wikipedia.org/wiki/X.690\#BER\_encoding][https_en.wikipedia.org_wiki_X.690_BER_encoding]  
`CER`=`Canonical Encoding Rules` : [https://en.wikipedia.org/wiki/X.690\#CER\_encoding][https_en.wikipedia.org_wiki_X.690_CER_encoding]  
`DER`=`Distinguished Encoding Rules` : [https://en.wikipedia.org/wiki/X.690\#DER\_encoding][https_en.wikipedia.org_wiki_X.690_DER_encoding]

参考资料 : [https://en.wikipedia.org/wiki/X.690][X.690 1]

## 3.8 ASN.1 \{\#abstract-syntax-notation-1\} ##

`ASN.1`=`Abstract Syntax Notation 1`=`抽象标记语法1`。

参考资料 : [https://en.wikipedia.org/wiki/Abstract\_Syntax\_Notation\_One][https_en.wikipedia.org_wiki_Abstract_Syntax_Notation_One]

[X.509]: https://en.wikipedia.org/wiki/X.509
[Link 1]: https://www.cnblogs.com/linianhui/p/security-x509.html#public-key-certificate
[CA]: https://www.cnblogs.com/linianhui/p/security-x509.html#certificate-authority
[CRL]: https://www.cnblogs.com/linianhui/p/security-x509.html#certificate-revocation-list
[RFC5280]: https://tools.ietf.org/html/rfc5280
[1.1 Encoding Format]: https://www.cnblogs.com/linianhui/p/security-x509.html#1-1-encoding-format
[1.2 Structure]: https://www.cnblogs.com/linianhui/p/security-x509.html#1-2-structure
[DER]: https://www.cnblogs.com/linianhui/p/security-x509.html#distinguished-encoding-rules
[PEM]: https://www.cnblogs.com/linianhui/p/security-x509.html#privacy-enhanced-mail
[base64]: https://linianhui.github.io/information-security/01-cryptography-toolbox-1/#6-2-base64
[Link 2]: https://linianhui.github.io/information-security/01-cryptography-toolbox-1/#2-asymmetric-cryptography
[CSR]: https://www.cnblogs.com/linianhui/p/security-x509.html#certificate-signing-request
[https_en.wikipedia.org_wiki_Public_key_certificate]: https://en.wikipedia.org/wiki/Public_key_certificate
[https_en.wikipedia.org_wiki_Certificate_authority]: https://en.wikipedia.org/wiki/Certificate_authority
[X.690]: https://www.cnblogs.com/linianhui/p/security-x509.html#x690
[https_google.com]: https://google.com/
[https_en.wikipedia.org_wiki_X.690_DER_encoding]: https://en.wikipedia.org/wiki/X.690#DER_encoding
[RFC7468]: https://tools.ietf.org/html/rfc7468
[https_tools.ietf.org_html_rfc7468_section-4]: https://tools.ietf.org/html/rfc7468#section-4
[https_en.wikipedia.org_wiki_Privacy-Enhanced_Mail]: https://en.wikipedia.org/wiki/Privacy-Enhanced_Mail
[https_en.wikipedia.org_wiki_Certificate_signing_request]: https://en.wikipedia.org/wiki/Certificate_signing_request
[https_en.wikipedia.org_wiki_Certificate_revocation_list]: https://en.wikipedia.org/wiki/Certificate_revocation_list
[X.690 1]: https://en.wikipedia.org/wiki/X.690
[ASN.1]: https://www.cnblogs.com/linianhui/p/security-x509.html#abstract-syntax-notation-1
[https_en.wikipedia.org_wiki_X.690_BER_encoding]: https://en.wikipedia.org/wiki/X.690#BER_encoding
[https_en.wikipedia.org_wiki_X.690_CER_encoding]: https://en.wikipedia.org/wiki/X.690#CER_encoding
[https_en.wikipedia.org_wiki_Abstract_Syntax_Notation_One]: https://en.wikipedia.org/wiki/Abstract_Syntax_Notation_One