如何从Bouncy Castle创建用于AuthenticateasServer的X509证书？

Question

我已经使用Bouncy Castle创建了X509证书，但我不能与SSLStream.AuthenticateasServer或SSLStream.AuthenticateasClient一起使用，因为它们（当然）使用的是.NET版本。虽然Bouncy Castle中有一个转换器DotNetUtilities.tox509Certificate()，它接受一个BC X509并返回一个.NET X509。问题似乎是AuthenticateasServer/AuthenticateasClient需要包含私钥的证书。至少当我尝试转换并使用新证书时，在尝试使用SSLStream进行连接时会得到CryptographicException：“Key doesnot exist”。

所以我想我需要从Bouncy Castle创建一个X509Certificate2，因为它也可以包含私钥。但我发现的解决方案似乎有点...奇怪，我想知道现在是否还有其他人可以更好地将BC X509Certificate与SSLStream一起使用。

private static X509Certificate CreateDotNetCertificate(Org.BouncyCastle.X509.X509Certificate certificate, AsymmetricCipherKeyPair keyPair)
{
   var store = new Pkcs12Store();
   string friendlyName = certificate.SubjectDN.ToString();
   var certificateEntry = new X509CertificateEntry(certificate);
   store.SetCertificateEntry(friendlyName, certificateEntry);
   store.SetKeyEntry(friendlyName, new AsymmetricKeyEntry(keyPair.Private), new[] { certificateEntry });

   var stream = new MemoryStream();
   var password = "a password";
   store.Save(stream, password.ToCharArray(), new SecureRandom(randomGenerator));

   return new X509Certificate2(stream.ToArray(), password, X509KeyStorageFlags.PersistKeySet | X509KeyStorageFlags.Exportable);
}

解决方案摘自本博客:http://blog.differentpla.net/post/20

Answer 1

Windows使用Windows证书存储中存储的证书。我不知道BouncyCastle是否提供了对Windows CertStorage的直接访问，但如果它不提供，那么唯一的选择就是将证书从文件（或其他源）导入到CertStorage中，然后使用它。PKCS#12是将证书与其私钥一起传输的正确格式，因此使用它作为中间介质是很自然的。