Question

我想使用PHP界面运行我的证书颁发机构。作为后端，我想使用phpseclib。（版本1.0.2 - https://sourceforge.net/projects/phpseclib/files/phpseclib1.0.2.zip/download）

使用openssl生成CA根证书，以下脚本应创建由我的CA颁发的有效客户端证书。 CSR的部分看起来合理，CSR有效。但我用CA签署证书的部分似乎失败了。我获得了包含用户信息的证书，但没有给出发行人。我使用网站的示例代码 - 所以我不知道该怎么做。有什么建议？我是否以错误的方式导入CA证书？

<?php
    set_include_path("../resources/library/");
    include('File/X509.php');
    include('Crypt/RSA.php');
    //show ALL errors
    error_reporting(E_ALL);
    ini_set('display_errors', 1); 

    // Create key pair.
    $rsa = new Crypt_RSA();
    $key = $rsa->createKey();
    $privkey = new Crypt_RSA();
    $privkey->loadKey($key['privatekey']);
    $pubkey = new Crypt_RSA();
    $pubkey->loadKey($key['publickey']);
    $pubkey->setPublicKey();

    // Create certificate request.
    $csr = new File_X509();
    $csr->setPrivateKey($privkey);
    $csr->setPublicKey($pubkey);
    $csr->setDN('CN=www.example.org');
    $csr->loadCSR($csr->saveCSR($csr->signCSR()));

    // Set CSR attribute.
    $csr->setAttribute('pkcs-9-at-unstructuredName', array('directoryString' => array('utf8String' => 'myCSR')), FILE_X509_ATTR_REPLACE);

    // Set extension request.
    $csr->setExtension('id-ce-keyUsage', array('encipherOnly'));

    // Generate CSR.

    file_put_contents('csr.pem',  $output= $csr->saveCSR($csr->signCSR()));
    echo $output . "\n";

    // Read certificate request and validate it.
    $csr = new File_X509();
    $csr->loadCSR(file_get_contents('csr.pem'));
    if ($csr->validateSignature() !== true) {
        exit("Invalid CSR\n");
    }

    // Alter certificate request.
    $csr->setDNProp('CN', 'www.example.org');
    //~ $csr->removeExtension('id-ce-basicConstraints');

    // Load the CA and its private key.
    $pemcakey = file_get_contents("../../myCA/cafile/ca.key");
    $cakey = new Crypt_RSA();
    $cakey->setPassword('rootca'); // !!!!!!
    $cakey->loadKey($pemcakey);
    $pemca = file_get_contents("../../myCA/cafile/ca.crt");
    $ca = new File_X509();
    $ca->loadX509($pemca);
    $ca->setPrivateKey($cakey);

    // Sign the updated request, producing the certificate.
    $x509 = new File_X509();
    $cert = $x509->loadX509($x509->saveX509($x509->sign($ca, $csr)));

    // Generate the certificate.
    echo $x509->saveX509($cert) . "\n";
?>

示例首先输出CSR，然后输出生成的证书：

Answer 1

我误认为输出证书不包含发行人。我使用https://www.sslshopper.com/certificate-decoder.html进行测试/解码。

<强> [解决] - 使用另一个解码器，如openssl，所有设置信息+发行者都是所示。

？在某些情况下，解码器正在弄乱读取所有标题信息？！

如何使用phpseclib将颁发者信息（CA）设置为用户证书？

1 个答案: