数字证书的编程解析

本是古典何须时尚 2022-08-08 00:45 189阅读 0赞

这篇文章主要介绍PKI公钥体系中非常核心元素——数字证书的编程解析。在SSL，SET等安全协议通信时，数字证书用于通信双方进行身份认证，并且依靠数字证书和非对称加密算法加密传输数据，或者根据数字证书协商通信双方的共享密钥。所以，用户想要开发自己的应用，实现身份认证，必须对数字证书进行解析。根据解析结果，符合一定条件的终端用户，才可以接入。

**1、证书格式介绍**

现有的数字证书大都采用了X.509规范，主要由一下信息组成：版本号，证书序列号，有效期（证书生效时间和失效时间），用户信息（姓名、单位、组织、城市、国家等），颁发者信息，其他扩展信息，拥有者的公钥，CA对证书整体的签名，如图1所示。

[![X.509 V3数字证书格式][X.509 V3]][X.509 V3]

图1 X.509 V3数字证书格式

OPENSSL开发包中实现了对X.509证书解析的所有操作，如获得证书的版本、公钥、拥有者信息、颁发者信息、有效期等，下面就向大家介绍如何通过编程，解析出我们需要的证书信息。

**2、证书解析编程实现**

2.1 数据结构介绍

X.509证书在OPENSSL中定了专门的数据结构，方便用户对其操作，其结构如下所示：  
struct x509\_st  
    \{  
        X509\_CINF \*cert\_info;                      
        X509\_ALGOR \*sig\_alg;                     
        ASN1\_BIT\_STRING \*signature;                    
  int valid;  
        int references;  
        char \*name;  
        CRYPTO\_EX\_DATA ex\_data;  
        long ex\_pathlen;  
        long ex\_pcpathlen;  
        unsigned long ex\_flags;  
        unsigned long ex\_kusage;  
        unsigned long ex\_xkusage;  
        unsigned long ex\_nscert;  
        ASN1\_OCTET\_STRING \*skid;  
        struct AUTHORITY\_KEYID\_st \*akid;  
        X509\_POLICY\_CACHE \*policy\_cache;  
\#ifndef OPENSSL\_NO\_SHA  
        unsigned char sha1\_hash\[SHA\_DIGEST\_LENGTH\];  
\#endif   
        X509\_CERT\_AUX \*aux;  
        \};

该结构表示了一个完整的数字证书。各项意义如下：  
cert\_info：证书主体信息；  
sig\_alg：签名算法；  
signature：签名值，存放CA对该证书签名的结果；  
valid：是否是合法证书，1为合法，0为未知；  
references：引用次数，被引用一次则加一；  
name：证书持有者信息；  
ex\_data：扩展数据结构，用于存放用户自定义的信息；  
ex\_pathlen：证书路径长度；  
ex\_kusage：密钥用法；  
ex\_xkusage：扩展密钥用法；  
ex\_nscert：Netscape证书类型；  
skid：主体密钥标识；  
akid：颁发者密钥标识；  
policy\_cache：各种策略缓存；  
sha1\_hash：存放证书的sha1摘要值；  
aux：辅助信息；

其中，证书主体信息—X509\_CINF结构体定义如下：  
typedef struct x509\_cinf\_st  
    \{  
        ASN1\_INTEGER \*version;                                       //证书版本  
        ASN1\_INTEGER \*serialNumber;                              //序列号  
        X509\_ALGOR \*signature;                                        //签名算法    
        X509\_NAME \*issuer;                                               //颁发者       
        X509\_VAL \*validity;                                                // 有效时间    
        X509\_NAME \*subject;                                            // 持有者       
        X509\_PUBKEY \*key;                                              // 公钥    
        ASN1\_BIT\_STRING \*issuerUID;                          // 颁发者唯一标识      
        ASN1\_BIT\_STRING \*subjectUID;                        // 持有者唯一标识       
        STACK\_OF(X509\_EXTENSION) \*extensions;         // 扩展项       
    \} X509\_CINF;

2.2 函数介绍

根据上述结构体可知，我们可以通过编程，读取结构体中的证书信息，下面介绍一下几个常用的函数。

（1）编码转换函数

数字证书分为DER编码和PEM编码，所以对应的操作是不一样的。对于DER编码的证书，我们可以通过函数：X.509 \* d2i\_X509(x509 \*\*cert , unsigned char \*\*d , int len)，返回一个X.509的结构体指针。而对于PEM编码的证书，我没找到一个函数来实现编码转换，但可以通过OPENSSL提供的BIO函数，实现这一功能：先调用BIO\_new\_file() 返回一个BIO结构体，然后通过 PEM\_read\_bio\_X509() 返回一个X.509结构体。

（2）获得证书信息

其实获得证书信息的操作，仅仅是解析X509和X509\_CINF结构体的操作，可以得到如：证书版本，颁发者信息，证书拥有者信息，有效期，证书公钥等信息，主要函数如下：  
X509\_get\_version();              //获得证书版本；  
X509\_get\_issuer\_name();          //获得证书颁发者信息  
X509\_get\_subjiect\_name();        //获得证书拥有者信息  
X509\_get\_notBefore();           //获得证书起始日期  
X509\_get\_notAfter();            //获得证书终止日期  
X509\_get\_pubkey();             //获得证书公钥

其中，函数具体的参数和使用，结合下面编程代码向大家介绍。

2.3编程实现

通过上述的函数和结构体的介绍，下面编程实现解析一个数字证书就非常简单了。在此，我编写了一个解析证书的软件，实现关键代码如下：  
fp=fopen(filename.GetBuffer(0),"rb");  
if(fp==NULL)  
\{  
MessageBox("读取证书错误");  
return ;  
\}  
Certlen=fread(Cert,1,4096,fp);  
fclose(fp);  
//判断是否为DER编码的用户证书，并转化为X509结构体  
pTmp=Cert;  
usrCert = d2i\_X509(NULL,(const unsigned char \*\* )&pTmp,Certlen);  
if(usrCert==NULL)  
\{  
BIO \*b;  
/\* 判断是否为PEM格式的数字证书 \*/  
b=BIO\_new\_file(filename.GetBuffer(0),"r");  
usrCert=PEM\_read\_bio\_X509(b,NULL,NULL,NULL);  
BIO\_free(b);  
if(usrCert==NULL)  
\{  
MessageBox("转化格式错误！");  
    return;  
\}  
\}  
//解析证书  
X509\_NAME \*issuer = NULL;//X509\_NAME结构体，保存证书颁发者信息  
X509\_NAME \*subject = NULL;//X509\_NAME结构体，保存证书拥有者信息  
//获取证书版本  
Version = X509\_get\_version(usrCert);  
//获取证书颁发者信息，X509\_NAME结构体保存了多项信息，包括国家、组织、部门、通用名、mail等。  
issuer = X509\_get\_issuer\_name(usrCert);  
//获取X509\_NAME条目个数  
entriesNum = sk\_X509\_NAME\_ENTRY\_num(issuer->entries);  
//循环读取各条目信息  
for(i=0;i<entriesNum;i++)  
\{  
//获取第I个条目值  
name\_entry = sk\_X509\_NAME\_ENTRY\_value(issuer->entries,i);  
//获取对象ID  
Nid = OBJ\_obj2nid(name\_entry->object);  
//判断条目编码的类型  
if(name\_entry->value->type==V\_ASN1\_UTF8STRING)  
//把UTF8编码数据转化成可见字符  
\{  
nUtf8 = 2\*name\_entry->value->length;  
pUtf8 = (unsigned short \*)malloc(nUtf8);  
memset(pUtf8,0,nUtf8);  
rv = MultiByteToWideChar(  
CP\_UTF8,  
0,  
(char\*)name\_entry->value->data,  
name\_entry->value->length,  
pUtf8,  
nUtf8);  
rv = WideCharToMultiByte(  
CP\_ACP,  
0,  
pUtf8,  
rv,  
(char\*)msginfo,  
nUtf8,  
NULL,  
NULL);  
free(pUtf8);  
pUtf8 = NULL;  
msginfoLen = rv;  
msginfo\[msginfoLen\]='\\0';  
\}  
else  
\{  
msginfoLen=name\_entry->value->length;  
memcpy(msginfo,name\_entry->value->data,msginfoLen);  
msginfo\[msginfoLen\]='\\0';  
\}  
//根据NID打印出信息  
switch(Nid)  
\{  
case NID\_countryName://国家  
tmp.Format("issuer 's countryName:%s\\n",msginfo);  
        m\_list.InsertString(-1,tmp);  
        tmp.Empty();  
break;  
case NID\_stateOrProvinceName://省  
tmp.Format("issuer 's ProvinceName:%s\\n",msginfo);  
        m\_list.InsertString(-1,tmp);  
        tmp.Empty();  
break;  
case NID\_localityName://地区  
tmp.Format("issuer 's localityName:%s\\n",msginfo);  
        m\_list.InsertString(-1,tmp);  
        tmp.Empty();  
break;  
case NID\_organizationName://组织  
tmp.Format("issuer 's organizationName:%s\\n",msginfo);  
        m\_list.InsertString(-1,tmp);  
        tmp.Empty();  
break;  
case NID\_organizationalUnitName://单位  
tmp.Format("issuer 's organizationalUnitName:%s\\n",msginfo);  
        m\_list.InsertString(-1,tmp);  
        tmp.Empty();  
break;  
case NID\_commonName://通用名  
tmp.Format("issuer 's commonName:%s\\n",msginfo);  
        m\_list.InsertString(-1,tmp);  
        tmp.Empty();  
break;  
case NID\_pkcs9\_emailAddress://Mail  
tmp.Format("issuer 's emailAddress:%s\\n",msginfo);  
        m\_list.InsertString(-1,tmp);  
        tmp.Empty();  
break;  
\}//end switch  
\}  
//获取证书主题信息，与前面类似，在此省略  
subject = X509\_get\_subject\_name(usrCert);  
………

//获取证书生效日期  
time = X509\_get\_notBefore(usrCert);  
tmp.Format("Cert notBefore:%s\\n",time->data);  
m\_list.InsertString(-1,tmp);  
tmp.Empty();  
//获取证书过期日期  
time = X509\_get\_notAfter(usrCert);  
tmp.Format("Cert notAfter:%s\\n",time->data);  
m\_list.InsertString(-1,tmp);  
tmp.Empty();  
//获取证书公钥  
pubKey = X509\_get\_pubkey(usrCert);  
pTmp=derpubkey;  
//把证书公钥转为DER编码的数据  
derpubkeyLen=i2d\_PublicKey(pubKey,&pTmp);  
printf("PublicKey is: \\n");  
for(i = 0; i < derpubkeyLen; i++)  
\{  
CString tmpp;  
tmpp.Format("%02x", derpubkey\[i\]);  
tmp=tmp+tmpp;  
\}  
m\_list.InsertString(-1,tmp);  
   //释放结构体内存  
X509\_free(usrCert);

使用软件解析证书效果，如下图所示：

[![证书解析效果][20152L4E-1.jpg]][20152L4E-1.jpg]

图2 解析效果

**3、结束语**

通过上述介绍，相信大家对数字证书又有了更进一步的了解。在开发网络通信软件，需要加入身份认证功能时，大家可以根据解析出来的证书信息，与自己的访问策略相对比，实现访问控制。

数字证书在信息安全中处于重要地位，随着密码学的发展，数字证书的应用也会越来越广。

[X.509 V3]: http://www.cangfengzhe.com/uploads/allimg/110412/20152K137-0.jpg
[20152L4E-1.jpg]: http://www.cangfengzhe.com/uploads/allimg/110412/20152L4E-1.jpg