是否可以将私钥包含在.CER证书文件中？

我有一个用于将证书存储在数据库中的.NET应用程序的用例。其中一个要求是应用程序拒绝包含私钥的证书。用户将上传证书文件（特别是.CER或.CRT），然后应用程序将其导入为X509Certificate2对象，以便我可以检查HasPrivakeKey属性。是否可以将私钥包含在.CER证书文件中？

我知道.PFX文件可以包含私钥，但.CER或.CRT文件是否可以包含私钥？如果是这样，我如何生成测试证书以测试应用程序逻辑？

来源

2015-09-04 Timothy Schoonover

首先，.NET不支持带私钥的PEM格式。但是，如果提供了这种格式，则定义了以下结果：

1）如果证书头/页脚是文件中的第一个，.NET将忽略文件的其余内容（例如，私钥信息）并创建有效的对象X509Certificate2没有私钥（因为PKCS＃1和PKCS＃8密钥不受支持，被构造函数X509Certificate2调用的CryptoAPI函数支持，但有一些函数可以与PKCS＃1一起使用）。 2）如果私钥头/页脚是文件中的第一个，.NET将引发关于无效证书的异常。

p.s.仅当使用Base64编码并且每个部分使用页眉和页脚时（例如，-----BEGIN CERTIFICATE-----和-----END CERTIFICATE-----），这种组合才是可能的。无需使用PKCS＃12容器就可以将它们以二进制形式组合起来。

更新：如果你想测试它自己，这里就是这样的PEM文件的例子：

当实例从这个文件的 X509Certificate2对象

，调用将成功。交换部分，你会看到关于无效格式的异常。

来源

2015-09-04 16:20:08 Crypt32

你有没有任何参考？ –

不确定是否记录在案。我只是一个在Windows加密方面经验丰富的人。我知道这种行为，因为有'CryptStringToBinary'函数调用将Base64转换为二进制形式，并且此函数的行为如我所述：只返回具有页眉/页脚的第一部分，其余部分将被忽略。 – Crypt32

PEM格式的X509证书只是一个文本文件。这是不寻常的人证书和密钥追加到同一个文件，所以你最终的东西，看起来像：

-----BEGIN CERTIFICATE----- 
...certificate data... 
-----END CERTIFICATE----- 
-----BEGIN RSA PRIVATE KEY----- 
...key data... 
-----END RSA PRIVATE KEY-----

软件期待阅读私钥会忽略BEGIN RSA PRIVATE KEY/END RSA PRIVATE KEY之外的一切行和期望读取公共证书的软件将忽略BEGIN CERTIFICATE/END CERTIFICATE行之外的所有内容。

在这种情况下测试私钥的最简单方法是查找BEGIN RSA PRIVATE KEY标记。

我不认为有可能以这种方式连接DER编码的证书。

来源

2015-09-04 13:18:12 larsks

如果我有.pfx文件或.cer + .pvk，我可以使用makecert或openssl来生成上面描述的PEM编码.cer文件吗？我知道我可以使用X509Certificate2.PrivateKey.ToXmlString（）方法获得RSA数据并手动创建该文件，但我更愿意采用自动方式。 –

我不知道有一种自动的方式来创建这样的文件。根据我的经验，人们只是手动连接事物。 – larsks

是否可以将私钥包含在.CER证书文件中？

回答

相关问题