生成CSR和自签名证书

2023-10-23 09:17 由落雷发表于 #后端开发

CSR，全称Certificate Signing Request（证书签发请求），是一种包含了公钥和与主题（通常是实体的信息，如个人或组织）相关的其他信息的数据结构。CSR通常用于向证书颁发机构（Certificate Authority，CA）申请数字证书。下面是CSR的详细介绍：

CSR 的结构

一个典型的CSR包含以下关键信息：

主题信息（Subject）：这部分信息包括了证书的使用者（通常是个人或实体）的详细信息。主题信息可以包括以下字段：
- Common Name (CN)：通常是个体的名称或主机名。
- Organization (O)：个体所属的组织。
- Organizational Unit (OU)：组织内的部门或单位。
- Locality (L)：个体所在地的城市或地理位置。
- State (ST)：个体所在地的州或省份。
- Country (C)：个体所在地的国家代码。
公钥（Public Key）：CSR包含了与证书请求者相关的公钥。这个公钥用于加密和数字签名。
扩展信息：除了主题信息和公钥，CSR还可以包含各种扩展信息，以指定证书的用途、有效期、密钥用途等。常见的扩展包括密钥用途扩展（Key Usage）、扩展密钥用途（Extended Key Usage）、基本约束（Basic Constraints）等。
签名算法：CSR也包含用于签署CSR的签名算法（通常是RSA或ECDSA）。

CSR 的生成

生成CSR通常包括以下步骤：

生成密钥对：首先，生成一个密钥对，其中包括公钥和私钥。通常使用RSA或ECDSA算法生成密钥。
创建主题信息：确定要包含在CSR中的主题信息。这些信息将在颁发证书时显示在证书上。
创建 CSR：使用上述的主题信息和生成的公钥创建CSR。CSR是一个包含上述信息的数据结构，可以在编程中生成，也可以使用CSR生成工具。
签署 CSR：通常，CSR需要使用私钥进行签名，以确保CSR的完整性。签名的结果包括CSR的签名部分。

提交 CSR

一旦CSR生成完成，它通常会被提交给证书颁发机构（CA）来获取数字证书。CA将对CSR进行验证，并根据验证结果签发相应的数字证书。验证通常涉及对主题信息的验证，确保申请者的身份合法性。

CSR 的应用

CSR通常用于以下场景：

HTTPS 证书申请：网站管理员通常会生成CSR并将其提交给CA，以获取HTTPS证书，以便在安全的HTTPS连接中使用。
代码签名：开发者可以生成CSR，用于获取代码签名证书，以确保其代码在分发和执行时的完整性和真实性。
身份验证：CSR也可用于生成客户端证书，用于SSL/TLS客户端身份验证，例如在虚拟专用网络（VPN）或企业网络中。

CSR是建立公共密钥基础设施（PKI）中的信任和安全通信的关键组成部分。通过创建并提交CSR，申请者可以获得数字证书，从而实现安全通信和身份验证。

示例代码

在Go中生成证书签发请求（Certificate Signing Request，CSR）以及通过CSR生成证书通常需要使用Go语言的crypto/x509和crypto/x509/pkix包，以及私钥和公钥管理的包，比如crypto/rsa。以下是一个简单的示例，演示如何生成CSR并通过CSR生成自签名证书。

生成CSR：

首先，我们将生成CSR（Certificate Signing Request）。CSR包含了公钥、主题信息以及其他证书请求的相关信息。以下是一个示例代码：

package main

import (
    "crypto/rand"
    "crypto/rsa"
    "crypto/x509"
    "crypto/x509/pkix"
    "encoding/pem"
    "fmt"
    "os"
    "time"
)

func generateCSR() ([]byte, *rsa.PrivateKey, error) {
    privKey, err := rsa.GenerateKey(rand.Reader, 2048)
    if err != nil {
        return nil, nil, err
    }

    subject := pkix.Name{
        CommonName:         "example.com",
        Organization:       []string{"My Organization"},
        OrganizationalUnit: []string{"IT"},
        Locality:           []string{"City"},
        Province:           []string{"State"},
        Country:            []string{"US"},
    }

    template := x509.CertificateRequest{
        Subject:            subject,
        SignatureAlgorithm: x509.SHA256WithRSA,
    }

    csrDER, err := x509.CreateCertificateRequest(rand.Reader, &template, privKey)
    if err != nil {
        return nil, nil, err
    }

    csrPEM := pem.EncodeToMemory(&pem.Block{
        Type: "CERTIFICATE REQUEST",
        Bytes: csrDER,
    })

    return csrPEM, privKey, nil
}

func main() {
    csrPEM, privKey, err := generateCSR()
    if err != nil {
        fmt.Println("Error generating CSR:", err)
        return
    }

    csrFile, err := os.Create("example.csr")
    if err != nil {
        fmt.Println("Error creating CSR file:", err)
        return
    }
    defer csrFile.Close()
    csrFile.Write(csrPEM)

    // Optionally, you can save the private key
    keyFile, err := os.Create("private.key")
    if err != nil {
        fmt.Println("Error creating private key file:", err)
        return
    }
    defer keyFile.Close()
    keyPEM := pem.EncodeToMemory(&pem.Block{
        Type: "RSA PRIVATE KEY",
        Bytes: x509.MarshalPKCS1PrivateKey(privKey),
    })
    keyFile.Write(keyPEM)

    fmt.Println("CSR and private key generated successfully.")
}

上述代码生成了一个自签名证书请求（CSR），其中包括了公钥、主题信息和签名算法等。私钥也被生成并保存到文件中。

生成自签名证书：

生成自签名证书的过程需要使用之前生成的CSR和私钥。以下是一个示例代码：

package main

import (
    "crypto/x509"
    "encoding/pem"
    "fmt"
    "io/ioutil"
    "os"
    "time"
)

func generateCertificate(csrFile, keyFile string) error {
    // Read CSR
    csrPEM, err := ioutil.ReadFile(csrFile)
    if err != nil {
        return err
    }

    block, _ := pem.Decode(csrPEM)
    if block == nil {
        return fmt.Errorf("failed to parse PEM block containing the CSR")
    }

    csr, err := x509.ParseCertificateRequest(block.Bytes)
    if err != nil {
        return err
    }

    // Read private key
    keyPEM, err := ioutil.ReadFile(keyFile)
    if err != nil {
        return err
    }

    block, _ = pem.Decode(keyPEM)
    if block == nil {
        return fmt.Errorf("failed to parse PEM block containing the private key")
    }

    key, err := x509.ParsePKCS1PrivateKey(block.Bytes)
    if err != nil {
        return err
    }

    // Create a self-signed certificate
    template := x509.Certificate{
        SerialNumber: big.NewInt(1),
        Subject:      csr.Subject,
        NotBefore:    time.Now(),
        NotAfter:     time.Now().AddDate(1, 0, 0),
        KeyUsage:     x509.KeyUsageKeyEncipherment | x509.KeyUsageDigitalSignature,
    }

    derBytes, err := x509.CreateCertificate(rand.Reader, &template, &template, &key.PublicKey, key)
    if err != nil {
        return err
    }

    // Save the self-signed certificate to a file
    certFile, err := os.Create("selfsigned.crt")
    if err != nil {
        return err
    }
    defer certFile.Close()
    certPEM := pem.EncodeToMemory(&pem.Block{
        Type: "CERTIFICATE",
        Bytes: derBytes,
    })
    certFile.Write(certPEM)

    return nil
}

func main() {
    err := generateCertificate("example.csr", "private.key")
    if err != nil {
        fmt.Println("Error generating certificate:", err)
        return
    }

    fmt.Println("Self-signed certificate generated successfully.")
}

上述代码读取之前生成的CSR和私钥，然后使用这些信息创建了一个自签名证书。证书的有效期、密钥用途等信息可以根据需要进行调整。最后，它将生成的自签名证书保存到文件中。

声明：本作品采用署名-非商业性使用-相同方式共享 4.0 国际 (CC BY-NC-SA 4.0)进行许可，使用时请注明出处。
Author: mengbin
blog: mengbin
Github: mengbin92
cnblogs: 恋水无意

热门相关：重生之嫡女祸妃嫡嫁千金慕少，你老婆又重生了满宫春性瘾有夫之妇