生成2048位和密码保护的csr？答案

【问题标题】：Generate 2048 bit and password protected csr?生成2048位和密码保护的csr？
【发布时间】：2014-10-02 14:43:06
【问题描述】：

我正在尝试通过 PHP 生成 CSR。但是 CA 一直拒绝我的 CSR，因为他们说它不是 2048 位并且不受密码保护。但是当我查看函数 openssl_csr_new() 的 PHP 文档时，我找不到怎么做？

我当前的代码：

$dn = array(
                   'countryName' => $countryName,
                   'stateOrProvinceName' => $stateOrProvinceName,
                   'localityName' => $localityName,
                   'organizationName' => $organizationName,
                   'commonName' => $commonName,
                   'emailAddress' => $emailAddress
               );

               if(!empty($organizationalUnitName))
               $dn['organizationalUnitName'] = $organizationalUnitName;

               $csrSettings = array('private_key_bits' => 2048, 'private_key_type' => OPENSSL_KEYTYPE_RSA, 'encrypt_key' => true);

               // Generate a new private (and public) key pair
               $privkey = openssl_pkey_new($csrSettings);

               // Generate a certificate signing request
               $csr = openssl_csr_new($dn, $privkey, $csrSettings);
               openssl_csr_export($csr, $csrout);
               openssl_pkey_export($privkey, $pkeyout);

我做错了什么？

----- 更新代码：--------

$dn = array(
               'countryName' => $countryName,
               'stateOrProvinceName' => $stateOrProvinceName,
               'localityName' => $localityName,
               'organizationName' => $organizationName,
               'commonName' => $commonName,
               'emailAddress' => $emailAddress
           );

           if(!empty($organizationalUnitName))
           $dn['organizationalUnitName'] = $organizationalUnitName;

           $csrSettings = array('private_key_bits' => 2048, 'private_key_type' => OPENSSL_KEYTYPE_RSA, 'encrypt_key' => true);

           // Generate a new private (and public) key pair
           $privkey = openssl_pkey_new($csrSettings);

           // Generate a certificate signing request
           openssl_pkey_export($privkey, $pkeyout, 'test 1235 aaaaa');

           $csr = openssl_csr_new($dn, $pkeyout, $csrSettings);
           openssl_csr_export($csr, $csrout);

【问题讨论】：

您需要输入密码作为 openssl_pkey_export() 的第三个参数，我认为这应该在您生成密码后立即完成，否则所有其他功能将使用不受密码保护的功能.
谢谢，但这并不能解决问题。仍然保持相同的错误。现在的代码是：$csrSettings = array('private_key_bits' => 2048, 'private_key_type' => OPENSSL_KEYTYPE_RSA, 'encrypt_key' => true); // Generate a new private (and public) key pair $privkey = openssl_pkey_new($csrSettings); // Generate a certificate signing request openssl_pkey_export($privkey, $pkeyout, 'test 1235 aaaaa'); $private_key = $pkeyout; $csr = openssl_csr_new($dn, $pkeyout, $csrSettings); openssl_csr_export($csr, $csrout);
尝试更新您的问题。我看不懂。
据我所知，您无法使用密码保护您的 CSR。请参阅 RFC 2986，Certification Request Syntax Specification。您可以为其添加密码作为属性，但密码用于将来撤销已签名的证书。
原来我正在使用的经销商有一个错误..所有方法都工作正常......

标签： php ssl openssl csr

【解决方案1】：

与phpseclib, a pure PHP CSR implementation，

<?php
include('File/X509.php');
include('Crypt/RSA.php');

$privKey = new Crypt_RSA();
extract($privKey->createKey(2048));
$privKey->loadKey($privatekey);

$x509 = new File_X509();
$x509->setPrivateKey($privKey);
$x509->setDNProp('id-at-organizationName', 'phpseclib demo cert');

$csr = $x509->signCSR();

echo $x509->saveCSR($csr);
?>

但是，您不能使用密码保护 CSR。您可以使用密码保护私钥，但无论如何您都不应该与 CA 共享私钥。

如果 CA 坚持您可以向他们询问如何通过 CLI 使用 OpenSSL 执行此操作的示例。也许他们只是不太清楚他们的意思，但有 CLI 命令会让我们肯定知道。

【讨论】：

这令人困惑。目前尚不清楚 CSR 的创建位置。另外，外部 CA 将签署 CSR，因此 PHP 代码也签署 CSR 的原因并不明显。
@jww - 正在使用 $x509->saveCSR($csr) 命令创建 CSR。 CSR 是自签名的。见tools.ietf.org/html/rfc2986#page-8。 CA 所做的是从 CSR 中获取 DN，从中创建 X.509 tbsCertificate，然后从中进行签名。然后将签名算法 OID 和签名附加到 X.509 证书的 tbsCertificate 部分。 CA 没有理由签署 CSR。

【解决方案2】：

您的顺序完全错误，并且由于某种原因您执行了两次openssl_pkey_new()。我强烈建议您阅读文档并真正了解所有这些功能可以做什么，因为您的网站的安全性取决于它。这就是你想要的：

$dn = array(
    'countryName' => $countryName,
    'stateOrProvinceName' => $stateOrProvinceName,
    'localityName' => $localityName,
    'organizationName' => $organizationName,
    'commonName' => $commonName,
    'emailAddress' => $emailAddress
);

$csrSettings = array('private_key_bits' => 2048, 'private_key_type' => OPENSSL_KEYTYPE_RSA, 'encrypt_key' => true);

// Generate a new private (and public) key pair
$privkey = openssl_pkey_new($csrSettings);

// Generate a certificate signing request
$csr = openssl_csr_new($dn, $privkey, $csrSettings);

openssl_csr_export($csr, $csrout);
openssl_pkey_export($privkey, $pkeyout, "test 1235 aaaaa");

echo $csrout . "\n" . $pkeyout;

输出示例：

【讨论】：

相关：可以通过openssl req -in <csr.pem> -text -noout查看请求
'commonName' => $commonName, - 从外观上看，DNS 名称（如www.example.com）在通用名称中。 IETF 和 CA/B 论坛均不赞成这样做，因此不应该这样做。相反，应将 DNS 名称放在主题备用名称 (SAN) 中。 SAN 似乎完全消失了。
@jww，也许您应该在php.net 上提交错误报告，因为该页面甚至没有提到使用 SAN。我的回答大部分来自那里。