数字证书

​ 数字证书就是互联网通讯中标志通讯各方身份信息的一系列数据，提供了一种在Internet上验证您身份的方式，其作用类似于司机的驾驶执照或日常生活中的身份证。它是由一个由权威机构-----CA机构，又称为证书授权，（Certificate Authority）中心发行的，人们可以在网上用它来识别对方的身份。数字证书是一个经证书授权中心数字签名的包含公开密钥拥有者信息以及公开密钥的文件。最简单的证书包含一个公开密钥、名称以及证书授权中心的数字签名。

X.509信息

​ X.509 标准规定了证书可以包含什么信息，并说明了记录信息的方法（数据格式）。除了签名外，所有 X.509 证书还包含以下数据：

常见的X.509证书格式包括：

​ cer/crt是用于存放证书，它是2进制形式存放的，不含私钥。

​ pem跟crt/cer的区别是它以Ascii来表示，可以用于存放证书或私钥。

​ pfx/p12用于存放个人证书/私钥，他通常包含保护密码，2进制方式。

​ p10是证书请求。

​ p7r是CA对证书请求的回复，只用于导入

​ p7b以树状展示证书链(certificate chain)，同时也支持单个证书，不含私钥。

X.509证书数据结构:

Certificate ::= SEQUENCE {

        tbsCertificate       TBSCertificate, -- 证书主体

        signatureAlgorithm   AlgorithmIdentifier, -- 证书签名算法标识

        signatureValue       BIT STRING --证书签名值,是使用signatureAlgorithm部分指定的签名算法对tbsCertificate证书主题部分签名后的值.

         }

   TBSCertificate ::= SEQUENCE {

        version         [0] EXPLICIT Version DEFAULT v1, -- 证书版本号

        serialNumber         CertificateSerialNumber, -- 证书序列号，对同一CA所颁发的证书，序列号唯一标识证书

        signature            AlgorithmIdentifier, --证书签名算法标识

        issuer               Name,                --证书发行者名称

        validity             Validity,            --证书有效期

        subject              Name,                --证书主体名称

        subjectPublicKeyInfo SubjectPublicKeyInfo,--证书公钥

        issuerUniqueID [1] IMPLICIT UniqueIdentifier OPTIONAL,

                             -- 证书发行者ID(可选)，只在证书版本2、3中才有

        subjectUniqueID [2] IMPLICIT UniqueIdentifier OPTIONAL,

                             -- 证书主体ID(可选)，只在证书版本2、3中才有

        extensions      [3] EXPLICIT Extensions OPTIONAL

                             -- 证书扩展段（可选），只在证书版本3中才有

        }

   Version ::= INTEGER { v1(0), v2(1), v3(2) }

   CertificateSerialNumber ::= INTEGER

 

   AlgorithmIdentifier ::= SEQUENCE {

        algorithm               OBJECT IDENTIFIER,

        parameters              ANY DEFINED BY algorithm OPTIONAL }

   parameters:

   Dss-Parms ::= SEQUENCE { -- parameters ，DSA(DSS)算法时的parameters,

RSA算法没有此参数

        p             INTEGER,

        q             INTEGER,

        g             INTEGER }

 

signatureValue：

Dss-Sig-Value ::= SEQUENCE { -- sha1DSA签名算法时,签名值

                   r       INTEGER,

                      s       INTEGER }
   Name ::= CHOICE {

     RDNSequence }

   RDNSequence ::= SEQUENCE OF RelativeDistinguishedName

   RelativeDistinguishedName ::=

     SET OF AttributeTypeAndValue

   AttributeTypeAndValue ::= SEQUENCE {

     type     AttributeType,

     value    AttributeValue }

   AttributeType ::= OBJECT IDENTIFIER

   AttributeValue ::= ANY DEFINED BY AttributeType

 

   Validity ::= SEQUENCE {

        notBefore      Time,  -- 证书有效期起始时间

        notAfter       Time  -- 证书有效期终止时间

        }

   Time ::= CHOICE {

        utcTime        UTCTime,

        generalTime    GeneralizedTime }

   UniqueIdentifier ::= BIT STRING

   SubjectPublicKeyInfo ::= SEQUENCE {

        algorithm            AlgorithmIdentifier, -- 公钥算法

        subjectPublicKey     BIT STRING            -- 公钥值

        }

subjectPublicKey:

RSAPublicKey ::= SEQUENCE { -- RSA算法时的公钥值

         modulus            INTEGER, -- n

         publicExponent     INTEGER -- e -- }

 

   Extensions ::= SEQUENCE SIZE (1..MAX) OF Extension

   Extension ::= SEQUENCE {

        extnID      OBJECT IDENTIFIER,

        critical    BOOLEAN DEFAULT FALSE,

        extnValue   OCTET STRING }

python解析X509证书

导入对应的包

import ssl
import OpenSSL
from dateutil import parser

获取证书返回信息

resp=ssl.get_server_certificate(('www.qq.com', 443))

解析证书信息

x509 =OpenSSL.crypto.load_certificate(OpenSSL.crypto.FILETYPE_PEM,resp )

解析具体数据

issuer=x509.get_issuer()    #获取证书发行者名称
time1=parser.parse(x509.get_notBefore().decode("UTF-8"))  #获取证书发放时间

对应函数

 'get_issuer',                    证书发行者名称
    "CN : 通用名称  OU : 机构单元名称"
    "O  : 机构名    L  : 地理位置"
    "S  : 州/省名   C  : 国名"
 'get_notAfter',                  证书有效期终止时间
 'get_notBefore',                 证书有效期终止时间
 'get_pubkey',                    证书公钥值
 'get_serial_number',             证书序列号，对同一CA所颁发的证书，序列号唯一标识证书
 'get_signature_algorithm',       证书签名算法标识
 'get_subject',                   证书主体名称
 'get_version',					  证书版本
 'has_expired',                   证书是否已经过期
  'gmtime_adj_notAfter',
 'gmtime_adj_notBefore',
 'set_issuer',
 'set_notAfter',
 'set_notBefore',
 'set_pubkey',
 'set_serial_number',
 'set_subject',
 'set_version',
 'sign',
 'subject_name_hash',
 'to_cryptography'