使用纯.NET Framework生成和签名证书请求

Question

我正在尝试使用纯.NET代码创建证书请求，并根据现有的CA证书（在Windows证书html" target="_blank">存储中或作为单独的文件）从证书请求创建证书。

我知道有类X509Certifice和X509Certificate2可用于加载证书并访问它们的信息，但在System.Security.Cryptography命名空间中没有任何类或功能可用于创建证书请求或对此类证书请求进行签名以创建新的已签名证书。

并且尽管system.security.cryptography.pkcs命名空间的文档说明：

System.security.Cryptography.PKCS命名空间为公钥加密标准(PKCS)提供编程元素，包括签名数据、交换密钥、请求证书、公钥加密和解密以及其他安全功能的方法。

那么，如何仅使用System.Security.Cryptography中的纯.NET类创建证书请求并对该请求进行签名以创建新的X509证书呢？

• 我不想使用诸如openssl或MakeCert之类的外部可执行文件
• 我不想使用BouncyCastle
• 我不想使用Windows证书注册API
• 我不想使用本机Win32 API函数

Answer 1

简短回答：您可以从.NET Framework 4.7.2开始。

此功能最初是以CertificateRequest类的形式添加到.NET Core 2.0中的，它可以生成PKCS#10认证签名请求或X.509（自签名或链接）公钥证书。

该功能的类在.NET Framework 4.7.2中可用。

using (RSA parent = RSA.Create(4096))
using (RSA rsa = RSA.Create(2048))
{
    CertificateRequest parentReq = new CertificateRequest(
        "CN=Experimental Issuing Authority",
        parent,
        HashAlgorithmName.SHA256,
        RSASignaturePadding.Pkcs1);

    parentReq.CertificateExtensions.Add(
        new X509BasicConstraintsExtension(true, false, 0, true));

    parentReq.CertificateExtensions.Add(
        new X509SubjectKeyIdentifierExtension(parentReq.PublicKey, false));

    using (X509Certificate2 parentCert = parentReq.CreateSelfSigned(
        DateTimeOffset.UtcNow.AddDays(-45),
        DateTimeOffset.UtcNow.AddDays(365)))
    {
        CertificateRequest req = new CertificateRequest(
            "CN=Valid-Looking Timestamp Authority",
            rsa,
            HashAlgorithmName.SHA256,
            RSASignaturePadding.Pkcs1);

        req.CertificateExtensions.Add(
            new X509BasicConstraintsExtension(false, false, 0, false));

        req.CertificateExtensions.Add(
            new X509KeyUsageExtension(
                X509KeyUsageFlags.DigitalSignature | X509KeyUsageFlags.NonRepudiation,
                false));

        req.CertificateExtensions.Add(
            new X509EnhancedKeyUsageExtension(
                new OidCollection
                {
                    new Oid("1.3.6.1.5.5.7.3.8")
                },
                true));

        req.CertificateExtensions.Add(
            new X509SubjectKeyIdentifierExtension(req.PublicKey, false));

        using (X509Certificate2 cert = req.Create(
            parentCert,
            DateTimeOffset.UtcNow.AddDays(-1),
            DateTimeOffset.UtcNow.AddDays(90),
            new byte[] { 1, 2, 3, 4 }))
        {
            // Do something with these certs, like export them to PFX,
            // or add them to an X509Store, or whatever.
        }
    }
}

更长的答案如果您仍然停留在旧版本上：要在不添加任何新的P/Invokes的情况下完成您的目标，您需要阅读并理解以下文档：

• ITU-T X.680-201508，ASN.1语言
• IETF RFC 5280或ITU-T X.509，说明X.509证书中字段的文档。
• IETF RFC 2986，解释了PKCS#10认证签名请求
• ITU-T X.690解释了ASN.1（包括DER）的BER编码系列，它告诉您如何读写字节以实现X.509/PKCS#10中的语义含义。

然后您可以编写一个DER写入器/读取器，只需发出您想要的字节。