如何使用 phpseclib 验证证书是否由公共 CA 签名？答案

【问题标题】：How to use phpseclib to verify that a certificate is signed by a public CA?如何使用 phpseclib 验证证书是否由公共 CA 签名？
【发布时间】：2018-02-22 12:49:49
【问题描述】：

我需要确保 SMTP 服务器证书是由公共证书颁发机构签署的。我想使用 phpseclib 或其他一些受信任的库。我相信我可以使用从Firefox中提取的the root certificates。

有一些home-brew approaches here 可以检查证书日期和其他元数据，但它看起来不像这样进行任何签名检查（除了确保 OpenSSL 会这样做）。在任何情况下，我都想使用一个库——我想编写尽可能少的证书处理代码，因为我不是密码学家。

也就是说，上面链接上的答案仍然非常有用，因为它帮助我获取了一些代码来从 TLS 对话中获取证书：

$url = "tcp://{$domain}:{$port}";
$connection_context_option = [
    'ssl' => [
        'capture_peer_cert' => true,
        'verify_peer' => false,
        'verify_peer_name' => false,
        'allow_self_signed' => true,
    ]
];
$connection_context = stream_context_create($connection_context_option);
$connection_client = stream_socket_client($url, $errno, $errstr, 30, STREAM_CLIENT_CONNECT, $connection_context);
stream_set_timeout($connection_client, 2);
fread($connection_client, 10240);
fwrite($connection_client,"HELO alice\r\n");
fread($connection_client, 10240);
fwrite($connection_client, "STARTTLS\r\n");
fread($connection_client, 10240);
$ok = stream_socket_enable_crypto($connection_client, TRUE, STREAM_CRYPTO_METHOD_SSLv23_CLIENT);
if ($ok === false)
{
    return false;
}
$connection_info = stream_context_get_params($connection_client);

openssl_x509_export($info["options"]["ssl"]["peer_certificate"], $pem_encoded);

（注意这里我特意关闭了证书验证。这是因为我无法控制运行在哪些主机上，并且它们的证书可能是旧的或配置错误。因此，我希望无论验证如何都获取证书在我正在使用的连接上，然后使用我将提供的cacert.pem 自己验证它。）

这会给我一个这样的证书。这个是微软的 Live.com 电子邮件服务器smtp.live.com:587:

好的，太好了。所以我想针对任何公共 CA 验证这一点。我相信这是一个有效的证书，并且使用this checking service 正确验证了链：

这是我尝试在 phpseclib 中验证签名的方式：

$x509 = new \phpseclib\File\X509();

// From the Mozilla bundle (getPublicCaCerts splits them with a regex)
$splitCerts = getPublicCaCerts(file_get_contents('cacert.pem'));

// Load the certs separately
$caStatus = true;
foreach ($splitCerts as $caCert)
{
    $caStatus = $caStatus && $x509->loadCA($caCert);
}
// $caStatus is now true, so all good here

$certData = $x509->loadX509($pem_encoded); // From the TLS server
$valid = $x509->validateSignature();
// $valid is now false

这会返回false，这不是我所期望的。我想知道我的输入格式是否正确？ CA 的加载和被测证书似乎返回了良好的值。不幸的是，phpseclib 文档中的示例有点少，我在网络上的其他地方没有找到太多。

旁白：我有一个模糊的怀疑 this library 可以帮助我，假设它具有验证证书的功能。但是，我认为它正在为我的情况做很多事情——我希望我的软件在共享主机上运行，而自动下载感觉就像是另一个可能会失败的移动部分。我宁愿部署自己的包，将公共 CA 信息作为（大）参数提供，然后就地运行验证测试。 phpseclib 可能是完美的，只要我能弄清楚输入格式！

可能原因：phpseclib 找不到匹配的证书进行测试

我已将问题缩小到 phpseclib 验证器中的 search loop。在 L2156 上，我们有这样的代码：

case !defined('FILE_X509_IGNORE_TYPE') && $this->currentCert['tbsCertificate']['issuer'] === $ca['tbsCertificate']['subject']:

这个常量确实是未定义的，所以测试真的是一个 CA 是否可以匹配正确的证书细节。证书有这个元数据：

id-at-countryName = US
id-at-organizationName = DigiCert Inc
id-at-organizationalUnitName = www.digicert.com
id-at-commonName = DigiCert SHA2 High Assurance Server CA

对于当前所有可能匹配的证书，我在最新的证书包中只有这些值（即，如果没有找到通用名称 DigiCert SHA2 High Assurance Server CA，则以下所有值都将匹配）：

id-at-commonName = DigiCert Assured ID Root CA

id-at-commonName = DigiCert High Assurance EV Root CA

id-at-commonName = DigiCert Assured ID Root G2

id-at-commonName = DigiCert Assured ID Root G3

id-at-commonName = DigiCert Global Root G2

id-at-commonName = DigiCert Global Root G3

id-at-commonName = DigiCert Trusted Root G4

因此，系统甚至无法进行数字签名检查，因为它找不到与此证书对应的 CA。我错过了什么？这个简单的任务应该比这容易得多！

可能的原因：Mozilla 捆绑包仅是 Web 服务器证书

我推测邮件服务器证书不在 Mozilla 捆绑包中，因为 Web 浏览器不需要它们。我会假设我的 GNU/Linux Mint 安装上的证书是最新的并且适合此目的，因为操作系统应该能够验证邮件服务器中使用的证书。

因此我尝试了这段代码，它将所有系统证书加载到 phpseclib 中：

$certLocations = openssl_get_cert_locations();
$dir = $certLocations['default_cert_dir'];
$glob = $dir . '/*';
echo "Finding certs: " . $dir . "\n";

$x509 = new \phpseclib\File\X509();

foreach (glob($glob) as $certPath)
{
    // Change this so it is recursive?
    if (is_file($certPath))
    {
        $ok = $x509->loadCA(file_get_contents($certPath));
        if (!$ok)
        {
            echo sprintf("CA cert `%s` is invalid\n", $certPath);
        }
    }
}

// The 'getCertToTest' func just gets the live.com cert as a string
$data = $x509->loadX509(getCertToTest());
if (!$data)
{
    echo "Cert is invalid\n";
    exit();
}

$valid = $x509->validateSignature();
echo sprintf("Validation: %s\n", $valid ? 'Yes' : 'No');

不幸的是，这也失败了。

使用 openssl 确认我的系统证书正常

我已在我的系统上发出此命令，并且远程 TLS 证书验证正常。我不太了解 phpseclib 代码，但它看起来不像在做任何链接，这显然是必要的。

openssl s_client -connect smtp.live.com:25 -starttls smtp
CONNECTED(00000003)
depth=2 C = US, O = DigiCert Inc, OU = www.digicert.com, CN = DigiCert Global Root CA
verify return:1
depth=1 C = US, O = DigiCert Inc, CN = DigiCert Cloud Services CA-1
verify return:1
depth=0 C = US, ST = Washington, L = Redmond, O = Microsoft Corporation, CN = outlook.com
verify return:1
---
Certificate chain
 0 s:/C=US/ST=Washington/L=Redmond/O=Microsoft Corporation/CN=outlook.com
   i:/C=US/O=DigiCert Inc/CN=DigiCert Cloud Services CA-1
 1 s:/C=US/O=DigiCert Inc/CN=DigiCert Cloud Services CA-1
   i:/C=US/O=DigiCert Inc/OU=www.digicert.com/CN=DigiCert Global Root CA
---
Server certificate
-----BEGIN CERTIFICATE-----
MIIG/jCCBeagAwIBAgIQDs2Q7J6KkeHe1d6ecU8P9DANBgkqhkiG9w0BAQsFADBL
MQswCQYDVQQGEwJVUzEVMBMGA1UEChMMRGlnaUNlcnQgSW5jMSUwIwYDVQQDExxE
aWdpQ2VydCBDbG91ZCBTZXJ2aWNlcyBDQS0xMB4XDTE3MDkxMzAwMDAwMFoXDTE4
MDkxMzEyMDAwMFowajELMAkGA1UEBhMCVVMxEzARBgNVBAgTCldhc2hpbmd0b24x
EDAOBgNVBAcTB1JlZG1vbmQxHjAcBgNVBAoTFU1pY3Jvc29mdCBDb3Jwb3JhdGlv
(snipped, see other code block)
nGhseM2tJfwa2HMwUpuuo5029u4Dd40qvD0cMz33cOvBLRGkTPbXCFw24ZBdQrkt
SC5TAWzHFyT2tLC17LeSb7d0g+fuj41L6y4a9och8cPiv9IAP4sftzYupO99h4qg
7UXP7o3AOOGqrPS3INhO4068Z63indstanIHYM0IUHa3A2xrcz7ZbEuw1HiGH/Ba
HMz/gTSd2c0BXNiPeM7gdOK3
-----END CERTIFICATE-----
subject=/C=US/ST=Washington/L=Redmond/O=Microsoft Corporation/CN=outlook.com
issuer=/C=US/O=DigiCert Inc/CN=DigiCert Cloud Services CA-1
---
No client certificate CA names sent
Client Certificate Types: RSA sign, DSA sign, ECDSA sign
Requested Signature Algorithms: RSA+SHA256:RSA+SHA384:RSA+SHA1:ECDSA+SHA256:ECDSA+SHA384:ECDSA+SHA1:DSA+SHA1:RSA+SHA512:ECDSA+SHA512
Shared Requested Signature Algorithms: RSA+SHA256:RSA+SHA384:RSA+SHA1:ECDSA+SHA256:ECDSA+SHA384:ECDSA+SHA1:DSA+SHA1:RSA+SHA512:ECDSA+SHA512
Peer signing digest: SHA1
Server Temp Key: ECDH, P-256, 256 bits
---
SSL handshake has read 3831 bytes and written 478 bytes
---
New, TLSv1/SSLv3, Cipher is ECDHE-RSA-AES256-GCM-SHA384
Server public key is 2048 bit
Secure Renegotiation IS supported
Compression: NONE
Expansion: NONE
No ALPN negotiated
SSL-Session:
    Protocol  : TLSv1.2
    Cipher    : ECDHE-RSA-AES256-GCM-SHA384
    Session-ID: C11A0000050CD144CB5C49DD873D2C911F7CDDECFE18001F70FE0427C88B52F7
    Session-ID-ctx: 
    Master-Key: 5F4EC0B1198CF0A16D19F758E6A0961ED227FCEBD7EF96D4D6A7470E3F9B0453A2A06AC0C1691C31A1CA4B73209B38DE
    Key-Arg   : None
    PSK identity: None
    PSK identity hint: None
    SRP username: None
    Start Time: 1519322480
    Timeout   : 300 (sec)
    Verify return code: 0 (ok)
---
250 SMTPUTF8

我可能会放弃 phpseclib 以支持二进制命令，但我会依赖 system/exec 等，这可能不可用。不过，有时工作总比不工作好！

总结

尽管做了大量工作，但我在这方面陷入了死胡同。我将在这里总结一下我想做的事情。

我想使用 PHP 来针对已知的公共 CA 验证邮件服务器 SSL 证书。我不知道 Mozilla 证书是否适合用于此目的，或者我是否需要从其他地方获取它们。我发现我的 Linux Mint 开发机器具有可以验证上述示例邮件服务器的证书。

这里的简单策略是使用 PHP 5.6+ 并确保在流上下文中启用所有验证选项（尽管理想情况下，我也希望支持 5.5）。但是，我想自己做证明，或者使用openssl_ 函数或phpseclib 之类的库，所以我可以看到为什么给定的证书有效（或无效）。 openssl 二进制文件执行此操作（如上所示），它可能使用与 PHP 的 openssl 调用非常相似的东西来执行此操作，但我不知道它是如何做到的。例如，openssl 二进制文件是否使用证书链信息来执行此操作？

另一种方法是从有效的 SSL 会话中读取一些信息，但我在手册中也找不到任何内容。

【问题讨论】：

对，刚刚向橡皮鸭口授了这个，我注意到$x509->loadCA($certs) 正在返回false，这意味着我的公共 CA 证书确实不被识别。我有一个偷偷摸摸的怀疑，我必须解析 Mozilla 提取并将每个 BEGIN ... END 分别提供给这个方法。仍然欢迎回答/cmets，但我会在适当的时候更新这个！
phpseclib 的原始开发者实际上在几年前就在 frostjedi.com/phpbb3/viewtopic.php?f=46&t=30786 这样做了。源代码在该链接中。那是在几年前完成的——现在使用 ECDSA 的 CA 的数量可能已经增加了。
谢谢@neubert。这证实了我之前的评论是正确的——CA 证书需要单独拆分和添加。我现在收到true，因为每个都加载了。但是，验证方法仍然返回错误。里面有很多条款，所以我可能需要做一些挖掘！
我怀疑使用 ECDSA 的证书比在frostjedi.com 发布帖子时要多得多。 phpseclib 1.0 / 2.0 仅支持 RSA。据我了解，ECDSA 支持正在为 master 分支提供支持，但这仍在进行中。也就是说，您可以运行一些统计数据，如frostjedi.com 海报所做的那样确定。
这是一种明显的可能性。我可以亲自尝试，但要到周末才能这样做。

标签： php ssl ssl-certificate phpseclib

【解决方案1】：

证书由中间人签署，在本例中为 DigiCert SHA2 Secure Server CA。根证书列表中不存在中间证书。无论您使用什么库，我相信您都必须为验证过程明确提供有效的中间证书。

这是一个使用 sop/x509 库的示例。

// certificate from smtp.live.com
$cert = Certificate::fromPEM(PEM::fromString($certdata));
// list of trust anchors from https://curl.haxx.se/ca/cacert.pem
$trusted = CertificateBundle::fromPEMBundle(PEMBundle::fromFile('cacert.pem'));
// intermediate certificate from
// https://www.digicert.com/CACerts/DigiCertSHA2SecureServerCA.crt
$intermediates = new CertificateBundle(
    Certificate::fromDER(file_get_contents('DigiCertSHA2SecureServerCA.crt')));
// build certification path
$path_builder = new CertificationPathBuilder($trusted);
$certification_path = $path_builder->shortestPathToTarget($cert, $intermediates);
// validate certification path
$result = $certification_path->validate(PathValidationConfig::defaultConfig());
// failure would throw an exception
echo "Validation successful\n";

这会根据RFC 5280 进行签名验证和一些基本检查。它不会验证 CN 或 SAN 是否与目标域匹配。

免责声明！我是上述库的作者。它没有经过实战验证，因此恐怕它不会属于您的“其他一些受信任的图书馆”类别。不过，请随意尝试：)。

【讨论】：

这看起来很不错，谢谢！在另一个答案中，我提出了存在任意长度的验证链的可能性。我想知道，这是您可以在实用程序类中做的事情吗 - 继续加载新证书，达到合理的最大值，直到没有更多要加载的证书？
这里的文档、测试和 CI 的质量并不一定会让我在使用这个库之前坚持高水平的使用，因为它们本身就是很好的信心衡量标准。但是，它需要 PHP7 是可以理解的，并且目前我仍然支持 PHP 5.5，因为这是我目前其他依赖项的最低要求。不过，我可能很快就会提高！
0.5.0 版本是针对 PHP 5.6 的，但这也无济于事。对于 AIA 扩展和在没有用户干预的情况下下载证书，在我看来这听起来有点可疑，但是这又比在 TLS 握手时解释服务器提供的证书更糟糕吗？
啊，这是一个有趣的注释：为什么你觉得自动获取链接是可疑的？是因为我对另一个答案发表评论的原因，即流氓证书可能会尝试发送自动脚本以从 localhost、file:// 协议或其他安全风险中获取？
（FWIW，我假设我在问题中说明的openssl 二进制调用会透明地下载中间证书，因此如果有必要它可能确实会下载它们的链？不确定，但是它没有声明它正在下载那个！）。

【解决方案2】：

我能够得到它来验证：

<?php
include('File/X509.php');

$certs = file_get_contents('cacert.pem');
$certs = preg_split('#==(?:=)+#', $certs);
foreach ($certs as &$cert) {
   $cert = trim(preg_replace('#-----END CERTIFICATE-----.+#s', '-----END CERTIFICATE-----', $cert));
}
unset($cert);
array_shift($certs);

$x509 = new File_X509();

foreach ($certs as $i => $cert) {
   $x509->loadCA($cert);
}

$test = file_get_contents('test.cer');

$x509->loadX509($test);
$opts = $x509->getExtension('id-pe-authorityInfoAccess');
foreach ($opts as $opt) {
    if ($opt['accessMethod'] == 'id-ad-caIssuers') {
        $url = $opt['accessLocation']['uniformResourceIdentifier'];
        break;
    }
}

$ch = curl_init($url);
curl_setopt($ch, CURLOPT_RETURNTRANSFER, 1);
$intermediate = curl_exec($ch);

$x509->loadX509($intermediate);

if (!$x509->validateSignature()) {
    exit('validation failed');
}

$x509->loadCA($intermediate);

$x509->loadX509($test);

echo $x509->validateSignature() ?
    'good' :
    'bad';

注意$test = file_get_contents('test.cer'); 位。那是我加载您的证书的地方。如果我注释掉 $x509->loadCA($intermediate); 证书没有验证。如果我把它留在它确实验证。

编辑：

此分支会自动执行此操作：

https://github.com/terrafrost/phpseclib/tree/authority-info-access-1.0

仍然需要添加单元测试，但是它还没有在 2.0 或 master 分支中。这个周末我会努力解决这个问题。

使用示例：

<?php

include('File/X509.php');

$certs = file_get_contents('cacert.pem');
$certs = preg_split('#==(?:=)+#', $certs);
foreach ($certs as &$cert) {
   $cert = trim(preg_replace('#-----END CERTIFICATE-----.+#s', '-----END CERTIFICATE-----', $cert));
}
unset($cert);
array_shift($certs);

$x509 = new File_X509();

foreach ($certs as $i => $cert) {
   $x509->loadCA($cert);
}

$test = file_get_contents('test.cer');

$x509->loadX509($test);
//$x509->setRecurLimit(0);

echo $x509->validateSignature() ?
    'good' :
    'bad';

【讨论】：

这看起来很棒，谢谢 - 我会尽快尝试。所以它必须从 CA 本身进行 HTTP 获取以验证链？
@halfer - 是的 - 您要验证的证书不是由 CA 直接签名的 - 它是由中间证书签名的。
太棒了。是否有可能必须这样做是一个循环，涉及签名到任意深度的证书？是的，请通过 phpseclib 简化！ :-)
很酷的东西。我会看看是否可以获得一些示例以编写一些测试。不要急于将它放入 phpseclib - 赏金在一周内是你的，除非有人添加另一个更好的答案，我认为这不太可能！如果这对我有用，它将很好地让我畅通无阻。
我得到了这个工作。根据您提供的链接上的警告，看起来值得小心证书导致服务器端系统跟随的链接（或者实际上它可能迫使它在无限循环中跟随它们）。我想知道是否也要操作白名单，以最大限度地偏执。

【解决方案3】：

事实证明，我可以从远程服务器获取整个证书链 - 我不得不经历各种错误的线索和狡猾的假设才能达到这一点！归功于 Joe，他在 cmets 中指出，上下文选项 capture_peer_cert 仅获取证书，而没有任何可以完成到公共 CA 的验证路径的链证书；要做到这一点，需要capture_peer_cert_chain。

这里有一些代码可以做到这一点：

$url = "tcp://{$domain}:{$port}";
$connection_context_option = [
    'ssl' => [
        'capture_peer_cert_chain' => true,
        'verify_peer' => false,
        'verify_peer_name' => false,
        'allow_self_signed' => true,
    ]
];
$connection_context = stream_context_create($connection_context_option);
$connection_client = stream_socket_client($url, $errno, $errstr, 30, STREAM_CLIENT_CONNECT, $connection_context);
// timeout fread after 2s
stream_set_timeout($connection_client, 2);
fread($connection_client, 10240);
fwrite($connection_client,"HELO alice\r\n");
// let the server introduce it self before sending command
fread($connection_client, 10240);
// send STARTTLS command
fwrite($connection_client, "STARTTLS\r\n");
// wait for server to say its ready, before switching
fread($connection_client, 10240);
// Switching to SSL/TLS
$ok = stream_socket_enable_crypto($connection_client, TRUE, STREAM_CRYPTO_METHOD_SSLv23_CLIENT);
if ($ok === false)
{
    return false;
}

$chainInfo = stream_context_get_params($connection_client);

然后我们可以使用 OpenSSL 提取所有证书：

if (isset($chainInfo["options"]["ssl"]["peer_certificate_chain"]) && is_array($chainInfo["options"]["ssl"]["peer_certificate_chain"]))
{
    $verboseChainCerts = [];
    foreach ($chainInfo["options"]["ssl"]["peer_certificate_chain"] as $ord => $intermediate)
    {
        $chainCertOk = openssl_x509_export($intermediate, $verboseChainCerts[$ord]);
        if (!$chainCertOk)
        {
            $verboseChainCerts[$ord] = 'Cannot read chain info';
        }
    }

    $chainValid = checkChainAutomatically($x509Chain, $verboseChainCerts);
}

最后，进行检查的功能就在这里。根据问题，您应该假设已经加载了一组好的公共证书：

function checkChainAutomatically(X509 $x509, array $encodedCerts)
{
    // Set this to true as long as the loop will run
    $verified = (bool) $encodedCerts;

    // The certs should be tested in reverse order
    foreach (array_reverse($encodedCerts) as $certText)
    {
        $cert = $x509->loadX509($certText);
        $ok = $x509->validateSignature();
        if ($ok)
        {
            $x509->loadCA($cert);
        }
        $verified = $verified && $ok;
    }

    return $verified;
}

我尝试按顺序验证它们，但第一个失败了。我因此颠倒了顺序，他们都成功了。我不知道证书是否按链顺序提供，所以一个非常可靠的方法是循环使用两个嵌套循环，添加任何有效的证书作为 CA，然后继续外循环。在确认列表中的所有证书都具有经过验证的签名之前，可以这样做。

【讨论】：

TLS 为您提供带有target certificate first 的证书链。然而，链验证必须以相反的顺序执行，以便root CA is validated first。这是因为根 CA 包含用于验证中间证书的公钥，而中间证书又包含用于验证目标证书的公钥。
感谢您的确认，@Joe。我想知道以随机顺序交付三个或更多证书是否可行，例如与第一个在中间进行验证。如果这不应该发生，它简化了我必须在我这边编写的链验证码。
规范声明“后面的每个证书都必须直接证明它前面的证书”，因此您可以期望链始终有序。要考虑的一件事是根证书可能在链中，也可能不在链中。根据我的经验，它通常被省略。但无论哪种情况，您都必须检查中间件是否由您信任的 CA 签署。
谢谢@Joe。是的，我的代码就是这样做的——我使用的证书来自 Firefox 捆绑包，然后我视为 CA 证书的服务器中唯一可以通过捆绑包验证的证书。如果中间人未验证，则不会将其视为 CA 证书，因此任何依赖于该证书的内容（包括服务器证书本身）也会失败。
您忘记验证证书的日期。