通过OpenSSL解码X509证书文件

柔情只为你懂 2022-05-20 05:20 556阅读 0赞

转载自：https://blog.csdn.net/yyfzy/article/details/46682207

在Windows平台下，如果要解析一个X509证书文件，最直接的办法是使用微软的CryptoAPI。但是在非Windows平台下，就只能使用强大的开源跨平台库OpenSSL了。一个X509证书通过OpenSSL解码之后，得到一个X509类型的结构体指针。通过该结构体，我们就可以获取想要的证书项和属性等。

X509证书文件，根据封装的不同，主要有以下三种类型：

\*.cer：单个X509证书文件，不私钥，可以是二进制和Base64格式。该类型的证书最常见；

\*.p7b：PKCS\#7格式的证书链文件，包含一个或多个X509证书，不含私钥。通常从CA中心申请RSA证书时，返回的签名证书就是p7b格式的证书文件；

\*.pfx：PKCS\#12格式的证书文件，可以包含一个或者多个X509证书，含有私钥，一般有密码保护。通常从CA中心申请RSA证书时，加密证书和RSA加密私钥就是一个pfx格式的文件返回。

下面，针对这三种类型的证书文件，使用OpenSSL进行解码，得到对应的X509结构体指针。需要注意的是，示例代码中的证书文件内容都是指二进制数据，如果证书文件本身使用的Base64格式，从文件读取之后，需要将Base64格式的内容转化为二进制数据，才能使用下面的解码函数。

一、解码CER证书文件

CER格式的文件最简单，只需要调用API d2i\_X509()即可。示例代码如下(lpCertData为二进制数据)：

1.  m\_pX509 = d2i\_X509( NULL, ( unsigned char const \*\*)&lpCertData, ulDataLen);
2.  if (m\_pX509 == NULL)
3.  \{
4.  return CERT\_ERR\_FAILED;
5.  \}

二、解码P7B证书文件

由于P7B是个证书链文件，理论上可以包含多个X509证书。但是实际应用中，往往只包含一个文件，所以我们只处理第一个证书。示例代码如下：

1.  int rv = 0;
2.  int nid = 0;
3.  PKCS7\* p7 = NULL;
4.  STACK\_OF(X509) \*certs = NULL;
5.  BIO\* bio = BIO\_new(BIO\_s\_mem());
6.  *// 解码p7b内容*
7.  rv = BIO\_write(bio, lpCertData, ulDataLen);
8.  p7 = d2i\_PKCS7\_bio(bio, NULL);
9.  BIO\_free(bio);
10. *// 获取P7的具体格式*
11. nid = OBJ\_obj2nid(p7->type);
12. if(nid == NID\_pkcs7\_signed) 
13. \{
14. certs = p7->d.sign->cert;
15. \} 
16. else if(nid == NID\_pkcs7\_signedAndEnveloped) 
17. \{
18. certs = p7->d.signed\_and\_enveloped->cert;
19. \}
20. *// 只支持单证书的p7b*
21. m\_pX509 = sk\_X509\_value(certs, 0);
22. if (m\_pX509 == NULL) 
23. \{
24. return CERT\_ERR\_FAILED;
25. \}

如在特殊的情况下，需要处理整个证书链中的所有证书，则只需要循环调用sk\_X509\_value()知道返回为NULL为止。

三、解码PFX证书文件

解码PFX证书时，实际上是获取X509证书、私钥数据和CA证书链一系列对象，同时需要校验PFX的密码。示例代码如下：

1.  int rv = 0;
2.  PKCS12 \*p12 = NULL;
3.  EVP\_PKEY \*pkey = NULL;
4.  STACK\_OF(X509) \*ca = NULL;
5.  BIO \*bio;
6.  *// 解码P12内容*
7.  bio = BIO\_new(BIO\_s\_mem());
8.  rv = BIO\_write(bio, lpCertData, ulDataLen);
9.  p12 = d2i\_PKCS12\_bio(bio, NULL);
10. BIO\_free\_all(bio);
11. *// 获取证书对象*
12. rv = PKCS12\_parse(p12, lpscPassword, &pkey, &m\_pX509, &ca);
13. if (!rv || !m\_pX509)
14. \{
15. rv = CERT\_ERR\_FAILED;
16. goto FREE\_MEMORY;
17. \}
18. *// 释放内存*
19. FREE\_MEMORY:
20. PKCS12\_free(p12);
21. EVP\_PKEY\_free(pkey);
22. sk\_X509\_free(ca);

至此，三种常见证书文件的解码以完成，通过解码得到的证书上下文结构体指针m\_pX509，通过该指针就可以解析证书的项和扩展属性了。具体的解析方法，将在后续的Blog中逐一介绍。