创建用于SSL通信的证书

Question

我正在使用具有多个唯一标识的从属进程的分布式应用程序，这些进程将通过启用SSL的套接字与主应用程序进行通信。该应用程序用Java编写。

我需要一些帮助来了解SSLSocket，或者更确切地说，是它们使用的证书。

我正在寻找的人可以告诉我我是否正确理解了证书链的基本工作原理，但是我也不会拒绝代码示例。

我想要一个服务器本身具有CA签名证书的设置，每个从属服务器都将获得由主应用程序创建的自己的证书。

CA->Main server cert->Master SSL cert
CA->Main server cert->Slave SSL cert 1
CA->Main server cert->Slave SSL cert 2
CA->Main server cert->Slave SSL cert 3

第一个问题：这种证书链是解决问题的正确方法吗？我认为这是实现主机和从机都具有唯一身份而不必CA对每个证书进行签名的最简单方法。

第二个问题：如何以编程方式在Java中创建SSL证书？我正在尝试在这里创建链中的最后一个证书，假设我现在已经拥有“主服务器证书”。到目前为止，我已经生成了证书的密钥（类型为RSA）：

public KeyPair generateKeypair(String type, int bytes) 
throws NoSuchAlgorithmException{
    KeyPairGenerator keyPairGenerator = KeyPairGenerator.getInstance(type);
    keyPairGenerator.initialize(bytes);
    return keyPairGenerator.generateKeyPair();
}

X509Principal issuer = PrincipalUtil.getSubjectX509Principal(serverCert);
SubjectPublicKeyInfo key 
    = SubjectPublicKeyInfo.getInstance(kpair.getPublic().getEncoded());
X509v3CertificateBuilder certGen 
    = new X509v3CertificateBuilder(
        issuer, 
        BigInteger.valueOf(new SecureRandom().nextInt()), 
        before, 
        after, 
        subject, 
        key
    );
AlgorithmIdentifier sigAlgId 
    = new DefaultSignatureAlgorithmIdentifierFinder().find("SHA1withRSA");
AlgorithmIdentifier digAlgId 
    = new DefaultDigestAlgorithmIdentifierFinder().find(sigAlgId);

我不认为将serverCert设置为颁发者足以签署证书吗？据我了解，我需要以某种方式在链中的下一个证书上签名新证书，但是我该怎么做？我是否使用serverCert的私钥对证书签名：

AsymmetricKeyParameter akp 
    = PrivateKeyFactory.createKey(serverPrivateKey.getEncoded());
AlgorithmIdentifier sigAlgId 
    = new DefaultSignatureAlgorithmIdentifierFinder().find("SHA1withRSA");
AlgorithmIdentifier digAlgId 
    = new DefaultDigestAlgorithmIdentifierFinder().find(sigAlgId);
ContentSigner sigGen 
    = new BcRSAContentSignerBuilder(sigAlgId, digAlgId).build(akp);

我还有其他步骤吗？

Answer 1

从技术角度来看，您的解决方案是正确的。但是，请不要忘记安全方面的考虑：谁可以请求证书，如何执行身份验证，如何将证书/私钥分发到服务器…

这些元素对于生成证书是必不可少的：

• 主题名称
• 发行人名称
• 证书序列号
• 主题公钥
• 有效期（不早于，不晚于）

添加一些扩展名也是一个好习惯：

• 主题密钥标识符
• 权限密钥标识符
• 基本约束
• 按键用法
• 扩展密钥用法

此代码段概述了证书的生成：

ContentSigner getCertSigner(PrivateKey issuerKey) {
  AsymmetricKeyParameter akp = PrivateKeyFactory.createKey(issuerKey.getEncoded());
  AlgorithmIdentifier sigAlgId = new DefaultSignatureAlgorithmIdentifierFinder().find("SHA1withRSA");
  AlgorithmIdentifier digAlgId = new DefaultDigestAlgorithmIdentifierFinder().find(sigAlgId);
  return new BcRSAContentSignerBuilder(sigAlgId, digAlgId).build(akp);
}

X509CertificateHolder generateCertificate(X509Certificate issuerCert, PrivateKey issuerKey, X500Name subject, PublicKey subjectKey, Date notBefore, Date notAfter) {
  X509Principal issuerDN = PrincipalUtil.getSubjectX509Principal(issuerCert);
  SubjectPublicKeyInfo key = SubjectPublicKeyInfo.getInstance(subjectKey.getEncoded());
  X509v3CertificateBuilder builder = new X509v3CertificateBuilder(issuerDN, BigInteger.valueOf(new SecureRandom().nextInt()), before, after, subject, key);

  // Add authority key identifier
  builder.addExtension(X509Extension.authorityKeyIdentifier, false, JcaX509ExtensionUtils.createAuthorityKeyIdentifier(issuerCert));

  // Add subject key identifier
  builder.addExtension(X509Extension.subjectKeyIdentifier, false, JcaX509ExtensionUtils.createSubjectKeyIdentifier(subjectKey));

  // Add basic constraints
  builder.addExtension(X509Extension.basicConstraints, true, new BasicConstraints(false));

  // Add key usage
  KeyUsage keyUsage = new KeyUsage(KeyUsage.keyEncipherment|KeyUsage.digitalSignature);
  builder.addExtension(X509Extension.keyUsage, true, keyUsage);

  // Add extended key usage
  ExtendedKeyUsage extKeyUsage = new ExtendedKeyUsage(KeyPurposeId.id_kp_serverAuth);
  builder.addExtension(X509Extension.extendedKeyUsage, false, extKeyUsage);

  return builder.build(getCertSigner(issuerKey));
}

更新： 根据Martin Nielsen的评论修复了代码。