Можно ли включить закрытый ключ в файл сертификата .CER?

У меня есть прецедент для приложения .NET, которое хранит сертификаты в базе данных. Одно из требований заключается в том, чтобы приложение отклоняло сертификаты, содержащие закрытые ключи. Пользователь загрузит файл сертификата (в частности .CER или .CRT), и приложение импортирует его как объект X509Certificate2, чтобы я мог проверить свойство HasPrivakeKey.Можно ли включить закрытый ключ в файл сертификата .CER?

Я знаю, что файлы .PFX могут содержать закрытые ключи, но возможно ли для файлов .CER или .CRT также содержать закрытые ключи? Если да, то как я могу сгенерировать тестовый сертификат для проверки логики приложения?

источник

2015-09-04 Timothy Schoonover

Во-первых, .NET не поддерживает формат PEM с закрытым ключом. Но если такой формат представлен, то определяется следующий результат:

1) если первый заголовок/нижний колонтитул файла в файле, то .NET проигнорирует остальное содержимое файла (например, информацию секретного ключа) и создаст действительный объект X509Certificate2без закрытого ключа (поскольку ключи PKCS # 1 и PKCS # 8 не поддерживаются функциями CryptoAPI, которые вызывается конструктором X509Certificate2.Хотя есть функции для работы с PKCS # 1).

2) если первый заголовок/нижний колонтитул первого ключа в файле, .NET будет вызывать исключение из-за недействительного сертификата.

p.s. эта комбинация возможна только при использовании кодирования Base64, и каждый раздел использует верхний и нижний колонтитулы (например, -----BEGIN CERTIFICATE----- и -----END CERTIFICATE-----). Их невозможно комбинировать в двоичной форме без использования контейнера PKCS # 12.

обновление: если вы хотите, чтобы проверить это самостоятельно, вот пример такого PEM файла:

при создании экземпляра объекта X509Certificate2 из этого файла, то вызов будет успешным. Разделите разделы, и вы увидите исключение из недопустимого формата.

источник

2015-09-04 16:20:08 Crypt32

Есть ли у вас какие-либо ссылки? –

Не уверен, если он задокументирован. Я просто человек, который имеет опыт в криптографии Windows.Я знаю об этом поведении, потому что есть вызов функции CryptStringToBinary' для преобразования Base64 в двоичную форму, и эта функция ведет себя так, как я описал: возвращается только первый раздел с заголовком/нижним колонтитулом, остальные игнорируются. – Crypt32

Сертификат X509 в формате PEM - это всего лишь текстовый файл. Это не редкость для людей, чтобы добавить сертификат и ключ в тот же файл, так что вы в конечном итоге с чем-то, что выглядит как:

-----BEGIN CERTIFICATE----- 
...certificate data... 
-----END CERTIFICATE----- 
-----BEGIN RSA PRIVATE KEY----- 
...key data... 
-----END RSA PRIVATE KEY-----

Программное обеспечение ожидает читать секретный ключ будет игнорировать все вне BEGIN RSA PRIVATE KEY/END RSA PRIVATE KEY линии и программное обеспечение, ожидающие чтения общедоступного сертификата, будут игнорировать все за пределами линий BEGIN CERTIFICATE/END CERTIFICATE.

Самый простой способ проверить закрытый ключ в этом случае - это просто посмотреть маркер BEGIN RSA PRIVATE KEY.

Я не верю, что можно объединить сертификаты, закодированные DER, таким образом.

источник

2015-09-04 13:18:12 larsks

Если у меня есть .pfx-файл или .cer + .pvk, могу ли я использовать makecert или openssl для генерации PEM-кода .cer-файла, описанного выше? Я знаю, что могу получить данные RSA с помощью метода X509Certificate2.PrivateKey.ToXmlString() и вручную создать файл, но я бы предпочел автоматически использовать его. –

Я не знаю, что существует автоматизированный способ создания такого файла. По моему опыту, люди просто вручную объединяют вещи. – larsks

Можно ли включить закрытый ключ в файл сертификата .CER?

ответ

Смежные вопросы