SCEP扩展证书属性(&E)

Question

我正在使用SCEP为我的WebService创建证书。在成功创建证书和启动服务器之后，我尝试通过浏览器访问wsdl，浏览器显示一条错误消息，该消息表示该应用程序不允许使用证书类型，错误代码:SEC_ERROR_INSAPPLAYATE_CER_TYPE。一位同事指出，我必须将扩展密钥属性中的密钥用法更改为“服务器身份验证”，并且应该在认证请求中这样做。

要创建一个新请求，我使用BouncyCastle。请参阅下面的代码段：

    PKCS10CertificationRequestBuilder builder = new PKCS10CertificationRequestBuilder(subject, pkInfo);
    builder.addAttribute(PKCSObjectIdentifiers.pkcs_9_at_challengePassword, new DERPrintableString(challengePassword));

    return builder.build(signer);

    builder.addAttribute(PKCSObjectIdentifiers.pkcs_9_at_extendedCertificateAttributes, ??? );

一些信息：我正在使用JSCEP和bouncycastle 1.48

我希望有人能给我指出解决办法。提前道谢。

Answer 1

不推荐使用扩展的证书属性，但还有一个名为Extension request的PKCS#9属性，它可以包含调用方希望包含在证书中的一些扩展。

extensionRequest属性类型可用于携带有关请求者希望包含在证书中的证书扩展的信息。

当然，证书颁发机构必须支持该属性，并且可以根据其证书策略忽略该属性。

要在CSR中包含此属性，可以使用以下代码（未经测试）：

KeyUsage ku = new KeyUsage(KeyUsage.digitalSignature);
Extension kuExt = new Extension(Extension.keyUsage, true, ku.getEncoded());
ExtendedKeyUsage eku = new ExtendedKeyUsage(KeyPurposeId.id_kp_serverAuth);
Extension ekuExt = new Extension(Extension.extendedKeyUsage, true, eku.getEncoded());
Extensions exts = new Extensions(new Extension[] {kuExt, ekuExt});
builder.addAttribute(PKCSObjectIdentifiers.pkcs_9_at_extensionRequest, exts);