使用 Pkcs10CertificationRequest 获取主题备用名称答案

【问题标题】：Getting Subject Alternate Names with Pkcs10CertificationRequest使用 Pkcs10CertificationRequest 获取主题备用名称
【发布时间】：2017-12-03 03:23:03
【问题描述】：

我目前能够解码 CSR 的值，但请求的扩展除外，特别是 X509v3 Subject Alternative Name。这是相关部分我的`DecodeCSR（字符串 csr）：

public void DecodeCsr(string csrStr){
//getting just csr
var csrChars = Regex.Replace(csrStr, @"-----[^-]+-----", "").Trim().Replace(" ", "").Replace(Environment.NewLine, "").ToCharArray();
//converting that string into a byte array
byte[] csrEncode = Convert.FromBase64CharArray(csrChars, 0, csrChars.Length);
//giving decodeCsr the byte array
Pkcs10CertificationRequest decodeCsr = new Pkcs10CertificationRequest(csrEncode);
//getting a string of subject information
string subject = decodeCsr.GetCertificationRequestInfo().Subject.ToString();
//here's how I'm getting a DerSet of attribute
DerSet atts = (DerSet)decodeCsr.GetCertificationRequestInfo().Attributes;
}

这是一个带有 SAN 的测试 csr：

string csr = "-----BEGIN CERTIFICATE REQUEST-----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-----END CERTIFICATE REQUEST-----";

我可以从decodeCsr.GetCertificationRequestInfo().Attributes 获得的信息是Org.BouncyCastle.Asn1.DerSet，看起来像这样：

DerSet atts = (DerSet)decodeCsr.GetCertificationRequestInfo().Attributes;

这是它在调试模式下的样子（下面是整体对象的图片）：

atts    {[[1.2.840.113549.1.9.14, [[[2.5.29.17, #3026820a61757374696e2e636f6d820b61757374696e322e636f6d820b61757374696e342e636f6d]]]]]} Org.BouncyCastle.Asn1.DerSet

I can see the DerOctetString in debug mode，但是我不知道如何获得它。我相信如果我能做到那么远，雨果的答案可能适用，有一个DerOctetStringParser，但目前我没有什么可以给出的。

我尝试将atts 视为删除了字符串的OID 在调试模式下获得的值与DerOctetString 完全相同，并将其转换为无效的DerOctetString，我不相信这个答案很好。

【问题讨论】：

我可以使用 BouncyCastle for Java 阅读它（使用我认为等效的类和方法：PKCS10CertificationRequest 和 getAttributes）- 属性包含扩展请求（OID 1.2.840.113549.1.9.14）和我可以从中读取 DNS 名称。也许在 C# 实现中存在没有这些属性的差异？我不知道。
@hugo 这就是答案，他们在那里。我不知道如何将扩展请求 OID 读入任何有意义的内容...
我不会使用 C# 编写代码，但如果您愿意，我可以使用 Java 版本编写答案。 API 似乎是等价的..
@Hugo 这是一个开始，我可能可以找到一个 c# 等效项并在我的代码中编辑您的答案

标签： c# bouncycastle x509 csr subject-alternative-name

【解决方案1】：

根据 cmets 的要求，这是一个 Java 版本（带有 Bouncy Castle 1.57）。

一个细节是我必须格式化您的 CSR 以使其正常工作（当它全部在一行中时我无法阅读）：

这就是我可以从 CSR 中读取属性的方式：

import org.bouncycastle.asn1.ASN1ObjectIdentifier;
import org.bouncycastle.asn1.DEROctetString;
import org.bouncycastle.asn1.DERSequence;
import org.bouncycastle.asn1.pkcs.Attribute;
import org.bouncycastle.asn1.x509.GeneralNames;
import org.bouncycastle.pkcs.PKCS10CertificationRequest;
import org.bouncycastle.util.io.pem.PemObject;
import org.bouncycastle.util.io.pem.PemReader;

String csr = // Base 64 CSR
PemReader reader = new PemReader(new StringReader(csr));
PemObject object = reader.readPemObject();
reader.close();

PKCS10CertificationRequest req = new PKCS10CertificationRequest(object.getContent());

Attribute[] attributes = req.getAttributes();
for (Attribute at : attributes) {
    if ("1.2.840.113549.1.9.14".equals(at.getAttrType().getId())) { // extension request
        // there's a sequence inside another sequence
        DERSequence seq = (DERSequence) at.getAttrValues().getObjectAt(0);
        seq = (DERSequence) seq.getObjectAt(0);

        ASN1ObjectIdentifier oid = (ASN1ObjectIdentifier) seq.getObjectAt(0);
        if ("2.5.29.17".equals(oid.getId())) { // 2.5.29.17 = subject alternative name
            DEROctetString str = (DEROctetString) seq.getObjectAt(1);

            GeneralNames names = GeneralNames.getInstance(str.getOctets());
            System.out.println(names.toString());
        }
    }
}

输出是：

GeneralNames:
    2: test.com
    2: test2.com

标签2 是dnsName（如RFC 5280 所述）。

PS：此代码是一个简单版本，它假设只有一个属性值（当我调用 at.getAttrValues().getObjectAt(0) 时）。如果有更多属性，getAttrValues() 可能会有更多元素，并且循环会更好，而不是只获取第一个元素。

【讨论】：

根据你的属性数组，我得到了这样的属性：var decoded = decodeCsr.GetCertificationRequestInfo().Attributes 或Asn1Encodable[] decoded = decodeCsr.GetCertificationRequestInfo().Attributes.ToArray();，无论我如何对待这个对象，我总是得到这个字符串“{[[1.2.840.113549.1.9 .14, [[[2.5.29.17, #30158208746573742e636f6d820974657374322e636f6d]]]]]}" 这是以某种方式编码的吗？ 如果这是一个常见的输出，我总是可以写一个正则表达式来分割这个字符串我起床
我认为最好遍历这个数组并检查对象类型，直到得到八位字节字符串，类似于我所做的方式（获取序列，检查元素等）。在 java 中有 Asn1Dump 类（不确定在 C# 中是否可用），它告诉您 asn1 结构，因此您无需猜测类型。在这种情况下，我通常不喜欢依赖字符串表示。
我无法遍历数组，因为这个字符串 "{[[1.2.840.113549.1.9.14, [[[2.5.29.17, #30158208746573742e636f6d820974657374322e636f6d]]]]}" 是唯一的该数组中的对象或decoded[0]。我正在查看我的 Asn1Objects，看看是否有任何我可以使用的 BouncyCastle.Asn1
没有办法将这些属性作为对象获取吗？如果没有，那么我认为除了解析字符串之外别无他法。
我试过Attributes.GetObject() 和Attributes.GetEnumerator() 都导致无效操作异常。我可能可以解析字符串，但我觉得必须有其他东西可以使用。

【解决方案2】：

我使用以下代码使它工作：

public static void DecodeCsr(string csr)
{
    csr = Regex.Replace(csr, @"-----[^-]+-----", String.Empty).Trim().Replace(" ", "").Replace(Environment.NewLine, "");

    PemObject pem = new PemObject("CSR", Convert.FromBase64String(csr));
    Pkcs10CertificationRequest request = new Pkcs10CertificationRequest(pem.Content);
    CertificationRequestInfo requestInfo = request.GetCertificationRequestInfo();

    // an Attribute is a collection of Sequence which contains a collection of Asn1Object
    // let's find the sequence that contains a DerObjectIdentifier with Id of "1.2.840.113549.1.9.14"
    DerSequence extensionSequence = requestInfo.Attributes.OfType<DerSequence>()
                                                          .First(o => o.OfType<DerObjectIdentifier>()
                                                                       .Any(oo => oo.Id == "1.2.840.113549.1.9.14"));

    // let's get the set of value for this sequence
    DerSet extensionSet = extensionSequence.OfType<DerSet>().First();

    // estensionSet = [[2.5.29.17, #30158208746573742e636f6d820974657374322e636f6d]]]
    // extensionSet contains nested sequence ... let's use a recursive method 
    DerOctetString str = GetAsn1ObjectRecursive<DerOctetString>(extensionSet.OfType<DerSequence>().First(), "2.5.29.17");

    GeneralNames names = GeneralNames.GetInstance(Asn1Object.FromByteArray(str.GetOctets()));
    Console.WriteLine(names.ToString());
}

static T GetAsn1ObjectRecursive<T>(DerSequence sequence, String id) where T : Asn1Object
{
    if (sequence.OfType<DerObjectIdentifier>().Any(o => o.Id == id))
    {
        return sequence.OfType<T>().First();
    }

    foreach (DerSequence subSequence in sequence.OfType<DerSequence>())
    {
        T value = GetAsn1ObjectRecursive<T>(subSequence, id);
        if (value != default(T))
        {
            return value;
        }
    }

    return default(T);
}

棘手的部分是 BouncyCastle 可以在任何地方使用集合，并且请求的值在嵌套的嵌套集合中。我使用递归函数，因为我不确定您的 CSR 是否始终将此值作为嵌套。

【讨论】：

非常感谢，我在这个问题上卡了一段时间。