从证书和密钥创建X509证书2，而无需制作PFX文件

Question

过去，我一直在通过导出带有密码的PFX证书来制作安全的TcpListener，但我想知道是否可以跳过这一步。

我没有使用商业SSL证书，并且有一个根CA，用于颁发服务器证书。在C#中托管TcpListener时，这些服务器证书需要额外的步骤（我想是因为没有使用CSR）。。。但是如果我有私钥和OpenSSL生成/使用的证书呢。

sslCertificate = new X509Certificate2("myExportedCert.pfx", "1234");

这很好，但是我必须发出openssl命令，从证书和私钥生成pfx文件，然后生成一些密码。然后在我的代码中包含这个密码。

我想知道这一步是否很有必要。有没有办法从证书中组成一个X509证书2，然后应用私钥。构造函数参数只允许证书部分，但是加密失败了，因为没有私钥。

此外，我不想依赖OpenSSL或IIS导出pfx。。。。看起来很笨拙。

理想情况下，我想：

sslCertificate = new X509Certificate2("myCert.crt");
sslCertificate.ApplyPrivateKey(keyBytes) // <= or "private.key" or whatever

sslStream.AuthenticateAsServer(sslCertificate, false, SslProtocols.Default, false);

Answer 1

最后我这样做了，它工作正常：

...
if (!File.Exists(pfx)) {
    // Generate PFX
    string arguments = "openssl pkcs12 -export -in " + certPath + "" + certFile + ".crt -inkey " + certPath + "" + certFile + ".key -out " + certPath + "" + certFile + ".pfx -passout pass:" + pfxPassword;
    ProcessStartInfo opensslPsi = new ProcessStartInfo("sudo", arguments);
    opensslPsi.UseShellExecute = false;
    opensslPsi.RedirectStandardOutput = true;
    using (Process p = Process.Start(opensslPsi)) {
        p.WaitForExit();
    }
    // Set Permission
    ProcessStartInfo chmodPsi = new ProcessStartInfo("sudo", "chmod 644 " + certPath + "" + certFile + ".pfx");
    chmodPsi.UseShellExecute = false;
    chmodPsi.RedirectStandardOutput = true;
    using (Process p = Process.Start(chmodPsi)) {
        p.WaitForExit();
    }
}
sslCertificate = new X509Certificate2(pfx, pfxPassword);
...

Answer 2

你要求的有几件不同的事情，轻松程度不同。

从. NET Framework 4.7.2或. NET Core 2.0开始，您可以组合证书和密钥。它不会修改证书对象，而是生成一个知道密钥的新证书对象。

using (X509Certificate2 pubOnly = new X509Certificate2("myCert.crt"))
using (X509Certificate2 pubPrivEphemeral = pubOnly.CopyWithPrivateKey(privateKey))
{
    // Export as PFX and re-import if you want "normal PFX private key lifetime"
    // (this step is currently required for SslStream, but not for most other things
    // using certificates)
    return new X509Certificate2(pubPrivEphemeral.Export(X509ContentType.Pfx));
}

在。NET Framework（但不是。NET Core）如果您的私钥是RSACryptoServiceProvider或DSACryptoServiceProvider，您可以使用cert。私钥=密钥，但这有复杂的副作用，不鼓励。

这个更难，除非你已经解决了。

在大多数情况下，答案是在不使用BouncyCastle的情况下使用c#中的数字签名，但如果您可以迁移到. NET Core 3.0，事情会变得容易得多。

从开始。NET Core 3.0您可以相对简单地做到这一点：

using (RSA rsa = RSA.Create())
{
    rsa.ImportPkcs8PrivateKey(binaryEncoding, out _);
    // do stuff with the key now
}

（当然，如果您有一个PEM，您需要对其进行“反PEM”，方法是提取开始和结束分隔符之间的内容，并通过Convert.FromBase64String运行它，以获得二进制编码）。

从开始。NET Core 3.0您可以相对简单地做到这一点：

using (RSA rsa = RSA.Create())
{
    rsa.ImportEncryptedPkcs8PrivateKey(password, binaryEncoding, out _);
    // do stuff with the key now
}

（如上所述，如果是PEM，则需要首先“de-PEM”它）。

从开始。NET Core 3.0您可以相对简单地做到这一点：

using (RSA rsa = RSA.Create())
{
    rsa.ImportRSAPrivateKey(binaryEncoding, out _);
    // do stuff with the key now
}

（如果是PEM，则为“de PEM”）。