教程：了解 X.509 公钥证书

项目
06/02/2023

X.509 证书是代表用户、计算机、服务或设备的数字文档。这些证书由证书颁发机构 (CA)、从属 CA 或注册机构颁发，并包含证书使用者的公钥。 X.509 证书并不包含使用者的私钥（必须安全存储）。公钥证书由 RFC 5280 记录。它们已进行数字签名，并且通常包含以下信息：

证书使用者的信息
与使用者私钥相对应的公钥
证书颁发机构的信息
支持的加密和/或数字签名算法
用于确定证书吊销和有效性状态的信息

证书字段

久而久之，现已有三个证书版本。每个版本都会在前一个版本的基础上添加字段。版本 3 是最新版本，除包含自身字段外，还包含版本 1 和版本 2 字段。版本 1 定义以下字段：

版本：标识证书版本号的值（1、2 或 3）
序列号：由 CA 颁发的每份证书的唯一编号
CA 签名算法：CA 用于签署证书内容的算法名称
颁发者名称：证书颁发机构的可分辨名称 (DN)
有效期：证书有效的时间段
使用者名称：证书所代表的实体名称
使用者公钥信息：证书使用者所拥有的公钥

版本 2 添加了以下字段，其中包含证书颁发者的信息。不过，这些字段很少使用。

颁发者唯一 ID：由 CA 定义的证书颁发机构的唯一标识符
使用者唯一 ID：由证书颁发机构定义的证书使用者的唯一标识符

版本 3 证书添加了以下扩展：

颁发机构密钥标识符：可以是以下两个值其中之一：
- 由 CA 颁发的证书的使用者和序列号
- 颁发此证书的 CA 的公钥哈希
使用者密钥标识符：当前证书的公钥哈希
密钥用法：定义可为其使用证书的服务。该选项可以是如下一个或多个值：
- 数字签名
- 不可否认性
- 密钥加密
- 数据加密
- 密钥协议
- 密钥证书签名
- CRL 签名
- 仅加密
- 仅解密
私钥使用期限：密钥对的私钥部分的有效期
证书策略：用于验证证书使用者的策略
策略映射：将一个组织的策略映射到另一个组织的策略中
使用者可选名称：使用者的替代名称列表
颁发者可选名称：证书颁发机构的替代名称列表
使用者 Dir 属性：X 500 或 LDAP 目录的属性
基本约束：允许证书指定是将其颁发给 CA，还是颁发给用户、计算机、设备或服务。此扩展还包括一个路径长度约束，用于限制可以存在的从属 CA 的数量。
名称约束：指定在 CA 颁发的证书中允许使用的命名空间
策略约束：可用于禁止 CA 之间的策略映射
扩展密钥用法：表示在“密钥用法”扩展中标识的目的之外如何使用证书的公钥
CRL 分发点：包含一个或多个可在其上发布基本证书吊销列表 (CRL) 的 URL
禁止任何策略：禁止在从属 CA 证书中使用“所有颁发策略” OID (2.5.29.32.0)
最新 CRL：包含一个或多个可在其上发布证书颁发机构增量 CRL 的 URL
颁发机构信息访问：包含一个或多个可在其上发布 CA 证书的 URL
使用者信息访问：包含有关如何检索证书使用者的其他详情的信息

证书格式

可以采用多种格式保存证书。 Azure IoT 中心身份验证通常使用 PEM 和 PFX 格式。

二进制证书

该证书包含使用 DER ASN. 1 编码的原始形式二进制证书。

ASCII PEM 格式

PEM 证书（扩展名为 .pem）包含以 -----BEGIN CERTIFICATE----- 开头并以 -----END CERTIFICATE----- 结尾的 base64 编码证书。 PEM 格式非常常见，在上传某些证书时 IoT 中心需要此格式。

ASCII (PEM) 密钥

包含 base64 编码的 DER 密钥，该密钥可能包含有关用于密码保护的算法的其他元数据。

PKCS#7 证书

一种用于传输已签名或已加密数据的格式。该证书由 RFC 2315 定义。它可以包括整个证书链。

PKCS#8 密钥

一种私钥存储格式，由 RFC 5208 定义。

PKCS#12 密钥和证书

一种复杂的格式，可以存储和保护密钥和整个证书链。它通常与 .pfx 扩展名一起使用。 PKCS#12 等同于 PFX 格式。

后续步骤

若要生成可用于对 IoT 中心的设备进行身份验证的测试证书，请参阅以下主题：

如果你有证书颁发机构 (CA) 证书或从属 CA 证书，并且想要将其上传到 IoT 中心并证明自己拥有该证书，请参阅证明对 CA 证书的所有权。

通过