通过OpenSSL解码X509证书文件

转载自：https://blog.youkuaiyun.com/yyfzy/article/details/46682207

  在Windows平台下，如果要解析一个X509证书文件，最直接的办法是使用微软的CryptoAPI。但是在非Windows平台下，就只能使用强大的开源跨平台库OpenSSL了。一个X509证书通过OpenSSL解码之后，得到一个X509类型的结构体指针。通过该结构体，我们就可以获取想要的证书项和属性等。

        X509证书文件，根据封装的不同，主要有以下三种类型：

*.cer：单个X509证书文件，不私钥，可以是二进制和Base64格式。该类型的证书最常见；

*.p7b：PKCS#7格式的证书链文件，包含一个或多个X509证书，不含私钥。通常从CA中心申请RSA证书时，返回的签名证书就是p7b格式的证书文件；

*.pfx：PKCS#12格式的证书文件，可以包含一个或者多个X509证书，含有私钥，一般有密码保护。通常从CA中心申请RSA证书时，加密证书和RSA加密私钥就是一个pfx格式的文件返回。

        下面，针对这三种类型的证书文件，使用OpenSSL进行解码，得到对应的X509结构体指针。需要注意的是，示例代码中的证书文件内容都是指二进制数据，如果证书文件本身使用的Base64格式，从文件读取之后，需要将Base64格式的内容转化为二进制数据，才能使用下面的解码函数。

一、解码CER证书文件

        CER格式的文件最简单，只需要调用API d2i_X509()即可。示例代码如下(lpCertData为二进制数据)：

1. m_pX509 = d2i_X509(NULL, (unsigned char const **)&lpCertData, ulDataLen);
2. if (m_pX509 == NULL)
3. {
4. return CERT_ERR_FAILED;
5. }

二、解码P7B证书文件

        由于P7B是个证书链文件，理论上可以包含多个X509证书。但是实际应用中，往往只包含一个文件，所以我们只处理第一个证书。示例代码如下：

1. int rv = 0;
2. int nid = 0;
3. PKCS7* p7 = NULL;
4. STACK_OF(X509) *certs = NULL;
5. BIO* bio = BIO_new(BIO_s_mem());
6. // 解码p7b内容
7. rv = BIO_write(bio, lpCertData, ulDataLen);
8. p7 = d2i_PKCS7_bio(bio, NULL);
9. BIO_free(bio);
10. // 获取P7的具体格式
11. nid = OBJ_obj2nid(p7->type);
12. if(nid == NID_pkcs7_signed) 
13. {
14. certs = p7->d.sign->cert;
15. } 
16. else if(nid == NID_pkcs7_signedAndEnveloped) 
17. {
18. certs = p7->d.signed_and_enveloped->cert;
19. }
20. // 只支持单证书的p7b
21. m_pX509 = sk_X509_value(certs, 0);
22. if (m_pX509 == NULL) 
23. {
24. return CERT_ERR_FAILED;
25. }

        如在特殊的情况下，需要处理整个证书链中的所有证书，则只需要循环调用sk_X509_value()知道返回为NULL为止。

三、解码PFX证书文件

        解码PFX证书时，实际上是获取X509证书、私钥数据和CA证书链一系列对象，同时需要校验PFX的密码。示例代码如下：

1. int rv = 0;
2. PKCS12 *p12 = NULL;
3. EVP_PKEY *pkey = NULL;
4. STACK_OF(X509) *ca = NULL;
5. BIO *bio;
6. // 解码P12内容
7. bio = BIO_new(BIO_s_mem());
8. rv = BIO_write(bio, lpCertData, ulDataLen);
9. p12 = d2i_PKCS12_bio(bio, NULL);
10. BIO_free_all(bio);
11. // 获取证书对象
12. rv = PKCS12_parse(p12, lpscPassword, &pkey, &m_pX509, &ca);
13. if (!rv || !m_pX509)
14. {
15. rv = CERT_ERR_FAILED;
16. goto FREE_MEMORY;
17. }
18. // 释放内存
19. FREE_MEMORY:
20. PKCS12_free(p12);
21. EVP_PKEY_free(pkey);
22. sk_X509_free(ca);

        至此，三种常见证书文件的解码以完成，通过解码得到的证书上下文结构体指针m_pX509，通过该指针就可以解析证书的项和扩展属性了。具体的解析方法，将在后续的Blog中逐一介绍。