如何使用 OpenSSL 验证/读取 IIS7 SSL 续订 CSR

Question 1

这个 IIS7 续订请求的结构实际上非常优雅。它似乎从这样的前提开始：因为这是一个续订请求当前的证书，它需要证明请求来自正确的主机——即实际使用当前证书的主机拥有相关私钥。在互联网世界中，您可以通过以原始用户的身份向 CA 进行身份验证来证明您有权请求续订证书，而不是创建签名的 CSR。

为了证明发出续订请求的权利，IIS7 创建一个普通的 CSR（PKCS#10 对象），然后对其进行签名，并提供签名该密钥的证书。

IIS7 更新 CSR
- PKCS#7 数据
  - PKCS#10 数据（普通 CSR）
- 普通服务器证书
- 签发 CA 数据
- RSA 签名（我假设）

使用openssl asn1parse -in iis7rcsr -i查看文件结构，并将其与普通 CSR 进行比较。您应该在开头附近看到一个 OCTET STRING，位于标记为“:pkcs7-data”的对象中，这就是您需要提取以获取 CSR 的内容。

$ openssl asn1parse -in iis7rcsr -i
0:d=0  hl=4 l=4273 cons: SEQUENCE          
4:d=1  hl=2 l=   9 prim:  OBJECT            :pkcs7-signedData
15:d=1  hl=4 l=4258 cons:  cont [ 0 ]        
19:d=2  hl=4 l=4254 cons:   SEQUENCE          
23:d=3  hl=2 l=   1 prim:    INTEGER           :01
26:d=3  hl=2 l=  11 cons:    SET               
28:d=4  hl=2 l=   9 cons:     SEQUENCE          
30:d=5  hl=2 l=   5 prim:      OBJECT            :sha1
37:d=5  hl=2 l=   0 prim:      NULL              
39:d=3  hl=4 l=2426 cons:    SEQUENCE          
43:d=4  hl=2 l=   9 prim:     OBJECT            :pkcs7-data
54:d=4  hl=4 l=2411 cons:     cont [ 0 ]        
58:d=5  hl=4 l=2407 prim:      OCTET STRING      [HEX DUMP]:3082096330820...

为了从这里获取实际的 PKCS#10 CSR，我们需要该偏移数字，在本例中为“58”。然后我们可以使用该偏移量来提取该对象的二进制版本：-

$ openssl asn1parse -in iis7rcsr -strparse 58 -out thecsr -noout

接下来我们可以使用读取输出文件“thecsr” openssl req，记得指定输入格式 DER。

$ openssl req -in thecsr -inform DER -text -noout
Certificate Request:
Data:
    Version: 0 (0x0)
    Subject: (normal CSR Subject: line, censored)
    Subject Public Key Info:
        Public Key Algorithm: rsaEncryption
...

我可以将所有这些包装到一个没有临时文件的命令行中（但遗憾的是需要读取原始证书两次），只要我可以使用 Linux 来/proc/self/fd/欺骗 openssl（它将使用文件描述符执行本机技巧来处理密码，但不是正常输出）。

$ openssl asn1parse -in iis7rcsr -strparse $(openssl asn1parse -in iis7rcsr | grep -A2 ':pkcs7-data'|tail -1|cut -d: -f1) -out /dev/stdout -noout | openssl req -inform DER -noout -text

Certificate Request:
Data:
    Version: 0 (0x0)
    Subject: (Subject: line censored again)
    Subject Public Key Info:
        Public Key Algorithm: rsaEncryption
        RSA Public Key: (1024 bit)
            Modulus (1024 bit):
...

这个长命令行直接相当于openssl req -in non-iis7rcsr -noout -text我通常使用的简单命令行:-)

Answer