如何使用任意或已弃用的扩展名签署证书

大家好，我们又见面了啊~本文《如何使用任意或已弃用的扩展名签署证书》的内容中将会涉及到等等。如果你正在学习Golang相关知识，欢迎关注我，以后会给大家带来更多Golang相关文章，希望我们能一起进步！下面就开始本文的正式内容~

例如，假设我想使用任意或已弃用的扩展名签署证书（例如 nscerttype）：https://www.openssl.org/docs/manmaster/man5/x509v3_config.html

我相信我应该添加任意扩展作为证书的一部分，如下所示，但是您如何/在哪里发现 asn1 对象标识符？我今天读了更多我愿意承认的文档，但仍然感到困惑。

tmpl := &x509.certificate{
    serialnumber:          big.newint(time.now().unix()*1000),
    subject:               pkix.name{commonname: "edgeproxy", organization: []string{"edgeproxy"}},
    notbefore:             now,
    notafter:              now.add(camaxage),
    extraextensions:       []pkix.extension{
        {
            id: asn1.objectidentifier{}, //what goes here
            critical: false,
            []byte("sslca"),
        },
    },
    extkeyusage:           []x509.extkeyusage{x509.extkeyusageserverauth,x509.extkeyusageclientauth,x509.extkeyusageemailprotection, x509.extkeyusagetimestamping, x509.extkeyusagemicrosoftcommercialcodesigning, x509.extkeyusagemicrosoftservergatedcrypto, x509.extkeyusagenetscapeservergatedcrypto} ,
    keyusage:              x509.keyusagecrlsign | x509.keyusagecertsign,
    isca:                  true,
    basicconstraintsvalid: true,
}

在 python 中，我会这样做，但不知道如何将其移植到 go 中（这就是我在一天结束时所做的事情）：

OpenSSL.crypto.X509Extension(
        b"nsCertType",
        False,
        b"sslCA"
    ),

解决方案

前往 https://golang.org/src/encoding/asn1/asn1.go 定义源代码：

// an objectidentifier represents an asn.1 object identifier.

type objectidentifier []int

所以对象标识符（简称oid）是一个整数数组。 asn1 模块有解析它们的方法，例如 parseobjectidentifier。

这是您需要放在 id: 属性后面的结构。

但是现在您需要找出您想要的 oid。

虽然难以阅读，但 openssl 源代码可以向您显示 x.400/x.500/x.509 世界中许多事物的 oid，或者至少是 openssl 已知的事物的 oid。

如果你去https://github.com/openssl/openssl/blob/1aec7716c1c5fccf605a46252a46ea468e684454/crypto/objects/obj_dat.h

并搜索 nscerttype 您会得到：

{"nscerttype", "netscape cert type", nid_netscape_cert_type, 9, &so[407]},

so 是之前定义的，如果您跳转到第 407^th 项，您会看到：

0x60,0x86,0x48,0x01,0x86,0xf8,0x42,0x01,0x01,  /* [  407] obj_netscape_cert_type */

并在同一文件中对 obj_netscape_cert_type 进行最终搜索给出：

71,    /* obj_netscape_cert_type           2 16 840 1 113730 1 1 */

表示对应的oid为2.16.840.1.113730.1.1

或者您可以解码上面描述此 oid 的整数列表（有关详细信息，请参阅 How does ASN.1 encode an object identifier?）。

• 第一个 0x60 是 96₁₀，因此 2*40 + 16，这意味着 oid 以 2.16. 开头
• 则彼此采用“base128”形式：如果最高有效位为 1，则将所有后续数字的 7 个最低有效位组合在一起，直到其中一个最高有效位为 0
• 0x86 是 10000110₂ 因此必须与 0x48 又名 01001000₂ 一起使用，所以它实际上是 000011010010 00₂ 或 840₁₀
• 0x01 小于 128，因此它本身就是 1
• 0x86 仍然是 10000110₂，但必须与 0xf8 (11111000₂) 和 0x42 ( 01000010₂ 我们就停在这里因为第一位是 0）所以 000011011110001000010₂ 总共或 113730₁₀
• 最后两个 0x01 本身就是 1。

所以我们再次得到2.16.840.1.113730.1.1

您可以在某些在线 oid 浏览器上仔细检查它，如下所示： http://oid-info.com/cgi-bin/display?oid=2.16.840.1.113730.1.1&action=display 给出了以下描述：

netscape 证书类型（rec. itu-t x.509 v3 证书扩展 用于识别证书主体是否是安全套接字 层 (ssl) 客户端、ssl 服务器或证书颁发机构 (ca)）

然后，您甚至可以浏览各种弧（例如 netscape 弧或其他弧）来查找其他 oid。

您还可以获得完整的 asn.1 表示法：

{joint-iso-itu-t(2) country(16) us(840) organization(1) netscape(113730) cert-ext(1) cert-type(1)}

今天关于《如何使用任意或已弃用的扩展名签署证书》的内容就介绍到这里了，是不是学起来一目了然！想要了解更多关于的内容请关注golang学习网公众号！