1

X509証明書をオブジェクトとしてメモリに保存し、それをpemファイルとして保存してから再度ロードすると、最初に使用したのと同じ証明書が作成されると思います。ただし、これは当てはまらないようです。元の証明書をAと呼びましょう。pemファイルBAas_text（）からロードされた証明書はB.as_text（）と同じですが、A.as_pem（）はB.as_pem（）とは異なります。控えめに言っても、私はこれに混乱しています。ちなみに、Aが別のエンティティCによって署名されている場合、AはCの証明書に対して検証しますが、Bは検証しません。

私が見ているものを示すために、小さなサンプルプログラムをまとめました。これを実行すると、2番目のRuntimeErrorが発生します。

ありがとう、
ブロック

#!/usr/bin/python2.6

import M2Crypto as m2
import time

cur_time = m2.ASN1.ASN1_UTCTIME()
cur_time.set_time(int(time.time()) - 60*60*24)

expire_time = m2.ASN1.ASN1_UTCTIME()
# Expire certs in 1 hour.
expire_time.set_time(int(time.time()) + 60 * 60 * 24)


cs_rsa = m2.RSA.gen_key(1024, 65537, lambda: None)
cs_pk = m2.EVP.PKey()
cs_pk.assign_rsa(cs_rsa)
cs_cert = m2.X509.X509()

# These two seem the minimum necessary to make the as_text function call work
# at all
cs_cert.set_not_before(cur_time)
cs_cert.set_not_after(expire_time)

# This seems necessary to fill out the complete cert without errors.
cs_cert.set_pubkey(cs_pk)

# I've tried with the following set lines commented out and not commented.
cs_name = m2.X509.X509_Name()
cs_name.C = "US"
cs_name.ST = "CA"
cs_name.OU = "Fake Org CA 1"
cs_name.CN = "www.fakeorg.dex"
cs_name.Email = "cs1@www.fakeorg.dex"
cs_cert.set_subject(cs_name)
cs_cert.set_issuer_name(cs_name)
cs_cert.sign(cs_pk, md="sha256")

orig_text = cs_cert.as_text()
orig_pem = cs_cert.as_pem()

print "orig_text:\n%s" % orig_text

cs_cert.save_pem("/tmp/foo")

tcs = m2.X509.load_cert("/tmp/foo")

tcs_text = tcs.as_text()
tcs_pem = tcs.as_pem()

if orig_text != tcs_text:
        raise RuntimeError(
            "Texts were different.\nOrig:\n%s\nAfter load:\n%s" %
            (orig_text, tcs_text))

if orig_pem != tcs_pem:
        raise RuntimeError(
            "Pems were different.\nOrig:\n%s\nAfter load:\n%s" %
            (orig_pem, tcs_pem))
4

1 に答える 1

1

OpenSSLコマンドラインツールで作成した証明書（たとえば、testsディレクトリのserver.pemがキーとテキストを含まない）でM2Cryptoを使用してロードおよび保存してこれを試すと、同じファイルが得られるはずです。

contribディレクトリのSimpleX509Create.pyの動作が異なると思いましたが、テストしたところ、同じ問題が発生しました。どうやら、OpenSSLコマンドラインツールにはないいくつかのステップが欠けているようです。

于 2010-04-28T05:09:41.930 に答える