甜橘子，专注成都网站制作网站设计与营销型网站建设与优化
QQ :532337155
电话：028-86922220
证书的标准规范，其中使用最广泛的是由ITU（International TelecommumcationUnion，国际电信联盟）和ISO（IntemationalOrganizationforStandardization,国际标准化组织）两个组织制定的X.509规范。
创新互联主要从事成都做网站、成都网站制作、网页设计、企业做网站、公司建网站等业务。立足成都服务都江堰,十年网站建设经验,价格优惠、服务专业,欢迎来电咨询建站服务:028-86922220
X.509是一种非常通用的证书格式。所有的证书都符合ITU-TX.509国际标准，因此(理论上)为一种应用创建的证书可以用于任何其他符合X.509标准的应用。X.509证书的结构是用ASN1(Abstract Syntax Notation One)进行描述数据结构，并使用ASN.1语法进行编码。
在一份证书中，必须证明公钥及其所有者的姓名是一致的。对X.509证书来说，认证者总是CA或由CA指定的人，一份X.509证书是一些标准字段的集合，这些字段包含有关用户或设备及其相应公钥的信息。X.509标准定义了证书中应该包含哪些信息，并描述了这些信息是如何编码的(即数据格式)。
标准原文：
RFC 5280: Internet X.509 Public Key Infrastructure Certificate and Certificate Revocation List (CRL) Profile (rfc-editor.org)
或
RFC5280 中文翻译 中文RFC RFC文档 RFC翻译 RFC中文版 (rfc2cn.com)
本文重点介绍证书内容的格式，详见1.2。
1 介绍X.509证书中主要含有公钥、身份信息、签名信息和有效性信息等信息。这些信息用于构建一个验证公钥的体系，用来保证客户端得到的公钥正是它期望的公钥。
公钥: 非对称密码中的公钥。公钥证书的目的就是为了在互联网上分发公钥。身份信息: 公钥对应的私钥持有者的信息，域名以及用途等。签名信息: 对公钥进行签名的信息，提供公钥的验证链。可以是CA的签名或者是自签名，不同之处在于CA证书的根证书大都内置于操作系统或者浏览器中，而自签名证书的公钥验证链则需要自己维护（手动导入到操作系统中或者再验证流程中单独提供自签名的根证书）。有效性信息：证书的有效时间区间，以及CRL等相关信息。DER（Distinguished Encoding Rules）
格式 :二进制格式，是X.690标准中的一种二进制编码格式。
PEM（Privacy Enhanced Mail）
格式 :ASCII文本格式，BASE64编码。在DER格式或者其他二进制数据的基础上，使用BASE64编码为ASCII文本，以便于在仅支持ASCII的环境中使用二进制的DER编码的数据。
PEM在RFC 7468: Textual Encodings of PKIX, PKCS, and CMS Structures (rfc-editor.org)中被正式标准化。具体格式如下:
-----BEGIN label 1-----
base64 string...
-----END label 1-----
-----BEGIN label 2-----
base64 string...
-----END label 2-----其中label 1和label 2可以有1~N个。常用的label有(RFC 7468: Textual Encodings of PKIX, PKCS, and CMS Structures (rfc-editor.org)):
Sec. Label ASN.1 Type Reference Module
----+----------------------+-----------------------+---------+----------
5 CERTIFICATE Certificate [RFC5280] id-pkix1-e // 公钥证书文件
6 X509 CRL CertificateList [RFC5280] id-pkix1-e // X509证书吊销列表文件
7 CERTIFICATE REQUEST CertificationRequest [RFC2986] id-pkcs10 // CSR请求证书文件
8 PKCS7 ContentInfo [RFC2315] id-pkcs7* // PKCS7文件
9 CMS ContentInfo [RFC5652] id-cms2004 // CMS文件
10 PRIVATE KEY PrivateKeyInfo ::= [RFC5208] id-pkcs8 // 私钥文件
OneAsymmetricKey [RFC5958] id-aKPV1
11 ENCRYPTED PRIVATE KEY EncryptedPrivateKeyInfo [RFC5958] id-aKPV1 // 加密私钥文件
12 ATTRIBUTE CERTIFICATE AttributeCertificate [RFC5755] id-acv2 // 证书属性文件
13 PUBLIC KEY SubjectPublicKeyInfo [RFC5280] id-pkix1-e // 公钥文件一个具体的X.509 v3数字证书结构如下 :
标准原文
Certificate ::= SEQUENCE {tbsCertificate TBSCertificate,
signatureAlgorithm AlgorithmIdentifier,
signatureValue BIT STRING }
// 一个证书必须包含以上三个字段
// 1.TBS证书
// 该字段包含主题和颁发者的名称、与主题相关联的公钥、有效期和其他相关信息。第4.1.2节详细描述了这些字段；TBSC证书通常包括扩展，如第4.2节所述。
// 2.签名算法
// signatureAlgorithm字段包含CA用于签署此证书的加密算法的标识符。
// [RFC3279]、[RFC4055]和[RFC4491]列出了支持的签名算法，但也可能支持其他签名算法。该字段必须包含与序列tbsCertificate（第4.1.2.3节）中签名字段相同的算法标识符。
// 3.签名内容
// signatureValue字段包含根据ASN.1 DER编码的tbsCertificate计算的数字签名。ASN.1 DER编码的tbsCertificate用作签名函数的输入。此签名值编码为位字符串，并包含在签名字段中。此过程的详细信息针对[RFC3279]、[RFC4055]和[RFC4491]中列出的每种算法进行了说明。
// 通过生成此签名，CA将证明tbsCertificate字段中信息的有效性。特别是，CA认证公钥材料与证书主题之间的绑定。
// 下面对三个字段结构进行详解
// 1.TBS证书结构详解 tbsCertificate
TBSCertificate ::= SEQUENCE {version [0] EXPLICIT Version DEFAULT v1, // 版本号
serialNumber CertificateSerialNumber, // 序列号
signature AlgorithmIdentifier, // 公钥算法
issuer Name, // 颁发者名称
validity Validity, // 有效期
subject Name, // 被签名者名称
subjectPublicKeyInfo SubjectPublicKeyInfo, // 被签名者公钥信息
issuerUniqueID [1] IMPLICIT UniqueIdentifier OPTIONAL, -- If present, version MUST be v2 or v3 // 颁发者唯一ID-可选
subjectUniqueID [2] IMPLICIT UniqueIdentifier OPTIONAL, -- If present, version MUST be v2 or v3 // 被签者唯一ID-可选
extensions [3] EXPLICIT Extensions OPTIONAL -- If present, version MUST be v3 // 扩展信息-可选
}
// 以下对成员结构定义解释
// version
Version ::= INTEGER {v1(0), v2(1), v3(2) }
// serialNumber
CertificateSerialNumber ::= INTEGER
// signature
AlgorithmIdentifier ::= SEQUENCE {algorithm OBJECT IDENTIFIER,
parameters ANY DEFINED BY algorithm OPTIONAL }
// issuer name
// 颁发者字段标识已签署和颁发证书的实体。颁发者字段必须包含非空的可分辨名称（DN）。该字段定义为X.501类型名称[X.501]。名称由以下ASN.1结构定义：
Name ::= CHOICE {-- only one possibility for now --
rdnSequence RDNSequence }
RDNSequence ::= SEQUENCE OF RelativeDistinguishedName
RelativeDistinguishedName ::=
SET SIZE (1..MAX) OF AttributeTypeAndValue
AttributeTypeAndValue ::= SEQUENCE { type AttributeType,
value AttributeValue }
AttributeType ::= OBJECT IDENTIFIER
AttributeValue ::= ANY -- DEFINED BY AttributeType
DirectoryString ::= CHOICE { teletexString TeletexString (SIZE (1..MAX)),
printableString PrintableString (SIZE (1..MAX)),
universalString UniversalString (SIZE (1..MAX)),
utf8String UTF8String (SIZE (1..MAX)),
bmpString BMPString (SIZE (1..MAX)) }
// validity
Validity ::= SEQUENCE {notBefore Time,
notAfter Time }
Time ::= CHOICE {utcTime UTCTime,
generalTime GeneralizedTime }
// subject name
// 一般和issuer name规定一致
// subjectPublicKeyInfo
SubjectPublicKeyInfo ::= SEQUENCE {algorithm AlgorithmIdentifier,
subjectPublicKey BIT STRING }
// issuerUniqueID
UniqueIdentifier ::= BIT STRING
// subjectUniqueID
// 和issuerUniqueID一样
// extensions
Extensions ::= SEQUENCE SIZE (1..MAX) OF Extension
Extension ::= SEQUENCE {extnID OBJECT IDENTIFIER,
critical BOOLEAN DEFAULT FALSE,
extnValue OCTET STRING
-- contains the DER encoding of an ASN.1 value
-- corresponding to the extension type identified
-- by extnID }
// 2.证书签名算法 signatureAlgorithm
AlgorithmIdentifier ::= SEQUENCE {algorithm OBJECT IDENTIFIER,
parameters ANY DEFINED BY algorithm OPTIONAL }
// 3.数字签名内容，实际签名数据
...X.509有很多种常用的扩展名。不过这些扩展名有时候也是其他类型文件的扩展名，也就是说具有这个扩展名的文件并不一定是X.509证书。也可能只是保存了私钥的文件。
.pem: (隐私增强型电子邮件)DER编码的证书再进行BASE64编码的数据存放在"-----BEGIN CERTIFICATE-----“和”-----END CERTIFICATE-----"之中。.key: PEM格式的私钥文件。.pub: PEM格式的公钥文件。.crt: PEM或DER格式的公钥证书文件。.cer: PEM或DER格式的公钥证书文件。.csr: PEM或DER格式的证书请求CSR文件。.der：DER格式的公钥证书文件。.p7b,.p7c–PKCS#7SignedData structure without data, just certificate(s) orCRL(s).p12–PKCS#12格式，包含证书的同时可能还有带密码保护的私钥.pfx– PFX，PKCS#12之前的格式（通常用PKCS#12格式，比如那些由IIS产生的PFX文件）PKCS#7是签名或加密数据的格式标准，官方称之为容器。由于证书是可验真的签名数据，所以可以用SignedData结构表述。.P7C文件是退化的SignedData结构，没有包括签名的数据。
PKCS#12由PFX进化而来的用于交换公共的和私有的对象的标准格式。
3 例子PEM格式采用文本方式进行存储。一般包括首尾标记和内容块，内容块采用Base64进行编码。
例如，一个PEM格式（base64编码）的示例证书文件内容如下所示：
-----BEGIN CERTIFICATE-----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-----END CERTIFICATE-----
1234567891011121314151617181920212223使用openssl 工具命令:openssl x509 -in ca-cert.pem -inform pem -noout -text
证书中的解析出来的内容：
Certificate:
Data:
Version: 3 (0x2)
Serial Number:
10:e6:fc:62:b7:41:8a:d5:00:5e:45:b6
Signature Algorithm: sha256WithRSAEncryption
Issuer: C=BE, O=GlobalSign nv-sa, CN=GlobalSign Organization Validation CA-SHA256-G2
Validity
Not Before: Nov 21 08:00:00 2016 GMT
Not After : Nov 22 07:59:59 2017 GMT
Subject: C=US, ST=California, L=San Francisco, O=Wikimedia Foundation, Inc., CN=*.wikipedia.org
Subject Public Key Info:
Public Key Algorithm: id-ecPublicKey
Public-Key: (256 bit)
pub:
04:c9:22:69:31:8a:d6:6c:ea:da:c3:7f:2c:ac:a5:
af:c0:02:ea:81:cb:65:b9:fd:0c:6d:46:5b:c9:1e:
ed:b2:ac:2a:1b:4a:ec:80:7b:e7:1a:51:e0:df:f7:
c7:4a:20:7b:91:4b:20:07:21:ce:cf:68:65:8c:c6:
9d:3b:ef:d5:c1
ASN1 OID: prime256v1
NIST CURVE: P-256
X509v3 extensions:
X509v3 Key Usage: critical
Digital Signature, Key Agreement
Authority Information Access:
CA Issuers - URI:http://secure.globalsign.com/cacert/gsorganizationvalsha2g2r1.crt
OCSP - URI:http://ocsp2.globalsign.com/gsorganizationvalsha2g2
X509v3 Certificate Policies:
Policy: 1.3.6.1.4.1.4146.1.20
CPS: https://www.globalsign.com/repository/
Policy: 2.23.140.1.2.2
X509v3 Basic Constraints:
CA:FALSE
X509v3 CRL Distribution Points:
Full Name:
URI:http://crl.globalsign.com/gs/gsorganizationvalsha2g2.crl
X509v3 Subject Alternative Name:
DNS:*.wikipedia.org, DNS:*.m.mediawiki.org, DNS:*.m.wikibooks.org, DNS:*.m.wikidata.org, DNS:*.m.wikimedia.org, DNS:*.m.wikimediafoundation.org, DNS:*.m.wikinews.org, DNS:*.m.wikipedia.org, DNS:*.m.wikiquote.org, DNS:*.m.wikisource.org, DNS:*.m.wikiversity.org, DNS:*.m.wikivoyage.org, DNS:*.m.wiktionary.org, DNS:*.mediawiki.org, DNS:*.planet.wikimedia.org, DNS:*.wikibooks.org, DNS:*.wikidata.org, DNS:*.wikimedia.org, DNS:*.wikimediafoundation.org, DNS:*.wikinews.org, DNS:*.wikiquote.org, DNS:*.wikisource.org, DNS:*.wikiversity.org, DNS:*.wikivoyage.org, DNS:*.wiktionary.org, DNS:*.wmfusercontent.org, DNS:*.zero.wikipedia.org, DNS:mediawiki.org, DNS:w.wiki, DNS:wikibooks.org, DNS:wikidata.org, DNS:wikimedia.org, DNS:wikimediafoundation.org, DNS:wikinews.org, DNS:wikiquote.org, DNS:wikisource.org, DNS:wikiversity.org, DNS:wikivoyage.org, DNS:wiktionary.org, DNS:wmfusercontent.org, DNS:wikipedia.org
X509v3 Extended Key Usage:
TLS Web Server Authentication, TLS Web Client Authentication
X509v3 Subject Key Identifier:
28:2A:26:2A:57:8B:3B:CE:B4:D6:AB:54:EF:D7:38:21:2C:49:5C:36
X509v3 Authority Key Identifier:
keyid:96:DE:61:F1:BD:1C:16:29:53:1C:C0:CC:7D:3B:83:00:40:E6:1A:7C
Signature Algorithm: sha256WithRSAEncryption
8b:c3:ed:d1:9d:39:6f:af:40:72:bd:1e:18:5e:30:54:23:35:
...不同的签名加密方式，证书长度不一样，RSA1024的证书差不多1K，2048就要2K左右，ECC 256的大概六七百个字节等等。
证书允许扩展字段，所以有可能长度比较长，根据扩展信息的增加，证书大小都会变化。
你是否还在寻找稳定的海外服务器提供商？创新互联www.cdcxhl.cn海外机房具备T级流量清洗系统配攻击溯源，准确流量调度确保服务器高可用性，企业级服务器适合批量采购，新人活动首月15元起，快前往官网查看详情吧