X.509证书DN详解

超、凢脫俗 2022-04-15 00:16 501阅读 0赞

X.509使用DN（Distinct Name）来唯一标识一个实体，其功能类似我们平常使用的ID，不过不同的是，DN不再是类似 123456 这样得数字标识，而是采用多个字段来标识一个实体，例如”CN=老所,C=CN”，这样做的好处在于方便匹配到诸如LDAP一样的目录服务中。那么，DN的字段是否可以随意增加呢？比如我能否在”CN=老所,O=测试公司”这样一个DN上再增加一个ID属性，变成”CN=老所,O=测试公司,ID=123456″呢？

动手测试。首先采用微软的 XEnroll 组件来进行测试。XEnroll 是微软平台下的 ActiveX 控件，提供证书的加入服务，比如创建 PKCS\#10 证书请求。我们可以用 Javascript 来调用这个 ActiveX 控件：

var sOID = '';  
var sDN = 'CN="老所",O="测试公司",ID="123456"';  
alert(sDN);  
var sPKCS10 = oXEnroll.createPKCS10(sDN, sOID);  
其中，createPKCS10 函数接受两个参数，第一个是字符串类型的DN，第二个是用以标识该证书请求的用途的OID，这里，我们不在乎该证书的用途，所以就设为空好了。通过 IE 运行该段代码后，我得到了 object Error，看来，不能这样简单地添加DN字段。

于是开始搜索关于 X.509 DN 的信息。原来，X.509 证书里的 DN 属性，都是一些基于 ASN1 编码的对象，也就是说，对于我们熟知的 CN 属性，或者说 commonName 属性，程序是无法从证书里获得的，证书里是不会写诸如 CN=xxx 这样的信息的。所有字段都被表示为该字段类型的 OID 。OID 则是 ASN1 对象的统一表示方法，这种方法采用树状结构，由国际组织统一管理。一个公司如果要增加一个字段类型，并希望被广泛采用，它必须像管理 OID 的组织提出申请，就像我们常用的域名申请一样。

在 www.oid-info.com 这个网站，我们可以查询所有注册过的 OID 信息。这个网站提供两种方式的查询：按树状结构展开各级 OID，或者直接填写诸如”2.3.4″这样的 OID 来进行查询。

假如我们展开 2.5.4 这层 OID，我们就会发现很多我们常用的 DN 字段：

2.5.4.3 - commonName  
2.5.4.4 - surname  
2.5.4.13 - description  
2.5.4.10 - organizationName  
……  
既然如此，那我们就采用 OID 形式来添加属性类型吧，比如我使用 OID=2.5.4.888，这是一个未被注册的 OID，可以用来测试：

var sOID = '';  
var sDN = 'CN="老所",O="测试公司",2.5.4.888="123456"';  
alert(sDN);  
var sPKCS10 = oXEnroll.createPKCS10(sDN, sOID);  
运行该脚步，成功了，我们从机器里的证书申请库里找到该证书申请，查看其属性：

可以看出，虽然用 OID 添加属性成功了，但这个 OID 并不能被翻译成方便我们阅读的形式，就像我们只能使用 IP 而无法使用域名一样。要让该证书显示 ID= 而不是 2.5.4.888=，我们必须要：

向标准组织注册 2.5.4.888 为 ID;  
通知微软，修改其 Windows 程序，将该 OID 翻译为 ID  
显然，这非常不现实，呵呵。

接下来，我们再用 openssl 来测试一下。我选用的是 pyOpenSSL，一个 openssl 的 Python 包装库：

>>> from OpenSSL import crypto  
>>> req = crypto.X509Req()  
>>> subject = req.get\_subject()  
>>> setattr(subject, 'CN', 'soloman')  
>>> setattr(subject, 'ID', '123456')  
Traceback (most recent call last):  
File "", line 1, in   
AttributeError: No such attribute  
>>>  
看来，pyOpenSSL也只认识 CN，不认识 ID。查询了一下 pyopenssl 的源代码：

static int  
crypto\_X509Name\_setattr(crypto\_X509NameObj \*self, char \*name, PyObject \*value)  
\{  
int nid;  
int result;  
char \*buffer;  
if ((nid = OBJ\_txt2nid(name)) == NID\_undef)  
\{  
PyErr\_SetString(PyExc\_AttributeError, "No such attribute");  
return -1;  
\}  
......  
可以看出，pyOpenSSL 在设置 DN 的时候，首先调用 openssl 的 OBJ\_txt2nid()函数来将方便我们记忆的对象名字翻译成 OID, 然后再翻译成 openssl 程序里自己的 NID。

那么继续查询 openssl 的源代码，在 objects.h 文件里我们找到了所有 DN 字段的定义：

......  
\#define SN\_commonName            "CN"  
\#define LN\_commonName            "commonName"  
\#define NID\_commonName            13  
\#define OBJ\_commonName            OBJ\_X509,3L  
\#define SN\_countryName            "C"  
\#define LN\_countryName            "countryName"  
\#define NID\_countryName            14  
\#define OBJ\_countryName            OBJ\_X509,6L  
\#define SN\_localityName            "L"  
\#define LN\_localityName            "localityName"  
\#define NID\_localityName        15  
\#define OBJ\_localityName        OBJ\_X509,7L  
......  
这里，openssl 为每个常用的 DN 属性定义了4个内容：SN, LN, NID, OBJ。其中 SN 表示 Short Name, LN 表示 Long Name，都是一个 OID 方便我们阅读的名称的两个形式，而 OBJ 则定义了其 OID 信息。

在 openssl/crypto/asn1/a\_strnid.c 这个文件里，绑定了 openssl 能够支持并翻译的 DN 字段：

static ASN1\_STRING\_TABLE tbl\_standard\[\] = \{  
\{NID\_commonName,        1, ub\_common\_name, DIRSTRING\_TYPE, 0\},  
\{NID\_countryName,        2, 2, B\_ASN1\_PRINTABLESTRING, STABLE\_NO\_MASK\},  
\{NID\_localityName,        1, ub\_locality\_name, DIRSTRING\_TYPE, 0\},  
\{NID\_stateOrProvinceName,    1, ub\_state\_name, DIRSTRING\_TYPE, 0\},  
\{NID\_organizationName,        1, ub\_organization\_name, DIRSTRING\_TYPE, 0\},  
\{NID\_organizationalUnitName,    1, ub\_organization\_unit\_name, DIRSTRING\_TYPE, 0\},  
\{NID\_pkcs9\_emailAddress,    1, ub\_email\_address, B\_ASN1\_IA5STRING, STABLE\_NO\_MASK\},  
\{NID\_pkcs9\_unstructuredName,    1, -1, PKCS9STRING\_TYPE, 0\},  
\{NID\_pkcs9\_challengePassword,    1, -1, PKCS9STRING\_TYPE, 0\},  
\{NID\_pkcs9\_unstructuredAddress,    1, -1, DIRSTRING\_TYPE, 0\},  
\{NID\_givenName,            1, ub\_name, DIRSTRING\_TYPE, 0\},  
\{NID\_surname,            1, ub\_name, DIRSTRING\_TYPE, 0\},  
\{NID\_initials,            1, ub\_name, DIRSTRING\_TYPE, 0\},  
\{NID\_serialNumber,        1, ub\_serial\_number, B\_ASN1\_PRINTABLESTRING, STABLE\_NO\_MASK\},  
\{NID\_friendlyName,        -1, -1, B\_ASN1\_BMPSTRING, STABLE\_NO\_MASK\},  
\{NID\_name,            1, ub\_name, DIRSTRING\_TYPE, 0\},  
\{NID\_dnQualifier,        -1, -1, B\_ASN1\_PRINTABLESTRING, STABLE\_NO\_MASK\},  
\{NID\_domainComponent,        1, -1, B\_ASN1\_IA5STRING, STABLE\_NO\_MASK\},  
\{NID\_ms\_csp\_name,        -1, -1, B\_ASN1\_BMPSTRING, STABLE\_NO\_MASK\}  
\};  
可以看出，如果要让我们的基于 openssl 的程序支持一个我们自定义的属性，我们得修改 openssl 源代码，添加我们的新字段的”名称-OID” 绑定（可以只有Long Name），然后重新编译 openssl 和我们的程序，使其能使用新的属性。

我们回过头来想想，为什么标准化组织没有为我们提供一个类似 ID 这样的属性呢？这是因为，DN本来就是作为 ID 来使用的，它把一些属性绑定起来，来标识一个实体，如果再有一个通用的 ID 属性，逻辑上就冲突了。当然针对具体的应用，你可以注册一个特殊的 ID 属性，比如 openID ，但这需要实力雄厚的公司来进行注册和推广。

然而实际应用中，当我们想将证书系统与某个特别的应用中的某个 ID 进行绑定，而又不具备向国际组织进行 OID 注册和推广的能力时，我们完全可以利用现有的属性来进行实现，比如，针对这个需求，我可以设计出两个方案：

方案一：CN=老所@123456  
方案二：CN=123456, surname=老, givenName=所  
方案三：CN=123456, name=老所  
方案四：CN=老所, description=123456  
方案一，通过一定的方式，将用户的姓名和ID组合到CN里，然后在应用中解析出ID，这个方法不是很便于用户书写，用户在填写证书申请资料的时候必须注意符合该规范。

方案二与三的概念就是用CN来记录ID，毕竟，Common Name 嘛，随你如何定义。而用户的姓名由 surname + givenName 或者 name 来指定。该方法通过了 openssl 测试：

>>> req = crypto.X509Req()  
>>> subject = req.get\_subject()  
>>> setattr(subject, 'surname', 'Lao')  
>>> setattr(subject, 'givenName', 'Suo')  
>>> setattr(subject, 'name', 'Lao Suo')  
但是，XEnroll 仿佛不支持 surname + givenName 或者 name 属性，其文档上说明是支持 X.500 规范，而不是 X.509 规范。

方案四，则利用了 description 属性来记录和具体应用相关的讯息，比如我们的 ID，该方法通过了 openssll 的测试：

>>> req = crypto.X509Req()  
>>> subject = req.get\_subject()  
>>> setattr(subject, 'CN', 'Lao Suo')  
>>> setattr(subject, 'description', '123456')  
和 XEnroll 的测试：