使用证书颁发机构签署证书请求

Question

我想使用TLS相互身份验证在Go中制造的API上对一个客户端进行身份验证。我已经创建了一个证书颁发机构，假设Bob有一个他想与客户机一起使用的密钥对。Bob创建了一个证书请求，并希望我验证他的证书，以便在API上进行授权和身份验证。

我已使用此方法创建了我的证书颁发机构：

openssl genrsa -aes256 -out ca.key 4096
openssl req -new -x509 -sha256 -days 730 -key ca.key -out ca.crt

Bob使用它来创建他的证书和证书请求：

openssl genrsa -out bob.key 4096
openssl req -new -key bob.key -out bob.csr

我想实现这一点，但在围棋：

openssl x509 -req -days 365 -sha256 -in bob.csr -CA ca.crt -CAkey ca.key -set_serial 3 -out bob.crt

func createTLSConfig(certFile string, keyFile string, clientCAFilepath string) (config *tls.Config, err error) {
    cer, err := tls.LoadX509KeyPair(certFile, keyFile)
    if err != nil {
        return nil, err
    }

    clientCAFile, err := ioutil.ReadFile(clientCAFilepath)
    if err != nil {
        return nil, err
    }
    clientCAPool := x509.NewCertPool()
    clientCAPool.AppendCertsFromPEM(clientCAFile)

    config = &tls.Config{
        Certificates: []tls.Certificate{cer},
        ClientAuth: tls.RequireAndVerifyClientCert,
        ClientCAs:  clientCAPool,
        CipherSuites: []uint16{
            tls.TLS_ECDHE_RSA_WITH_AES_256_GCM_SHA384,
            tls.TLS_ECDHE_ECDSA_WITH_AES_256_GCM_SHA384,
        },
        PreferServerCipherSuites: true,
        SessionTicketsDisabled:   false,
        MinVersion:               tls.VersionTLS12,
        CurvePreferences:         []tls.CurveID{tls.CurveP521, tls.CurveP384},
    }

    return config, nil
}

但如果朱莉娅现在想登录怎么办？她将必须创建一个CSR，发送给我，我将不得不手动验证她的CSR到一个CRT。为了避免这种手动操作，需要有一个registerendpoint，在这里，Julia可以提交她的CSR并取回有效的CRT。endpoint基本上如下所示：

func Register(c echo.Context) (err error) {
    // get Julia's csr from POST body
    csr := certificateFromBody(c.Body)

    // valid csr with ca to generate the crt
    crt := signCSR(csr, config.ClientCAPath)

    // return the crt to julia
    return c.JSON(http.StatusCreated, base64.StdEncoding.EncodeToString(crt))
}

我花了一些时间来理解openssl如何使用CA从CRS创建CRT，但没有成功。

Golang有一个来自Crypto/X509包的CertificateRequest对象，我可以使用ParseCertificateRequest创建该对象，但我找不到获取该对象和我的CA并返回证书的函数。

谢谢你的帮助！

Answer 1

您可能可以使用X509.CreateCertificate。

CreateCertificate的参数之一是'template'证书。

您可以使用Julia的CertificateRequest中的字段设置模板证书的字段。

这假设来自Julia的API请求真的来自Julia，并且具有足够的可信度来签署请求并返回证书。

此外，在围棋中为TLS使用自己的PKI可能会有帮助。