Certyfikaty X.509

Certyfikaty X.509 to cyfrowe dokumenty reprezentujące użytkownika, komputer, usługę lub urządzenie. Certyfikaty X.509 wydaje organ certyfikacyjny (CA), podporządkowany CA lub organ rejestracyjny. Certyfikaty zawierają klucz publiczny podmiotu certyfikatu. Nie zawierają prywatnego klucza podmiotu, który musi być bezpiecznie przechowywany. RFC 5280 dokumentuje certyfikaty klucza publicznego, w tym ich pola i rozszerzenia. Certyfikaty klucza publicznego są podpisane cyfrowo i zazwyczaj zawierają następujące informacje:

• Informacje o temacie certyfikatu
• Klucz publiczny odpowiadający prywatnemu kluczowi podmiotu
• Informacje o wydającym CA
• Obsługiwane algorytmy szyfrowania i/lub cyfrowego podpisu
• Informacje do ustalenia statusu unieważnienia i ważności certyfikatu

Pola certyfikatu

Istnieją trzy przyrostowe wersje standardu certyfikatu X.509, a każda kolejna wersja dodawała do standardu pola certyfikatu:

• Wersja 1 (v1), opublikowana w 1988 roku, opiera się na początkowym standardzie X.509 dla certyfikatów.
• Wersja 2 (v2), opublikowana w 1993 roku, dodaje dwa pola do pól zawartych w wersji 1.
• Wersja 3 (v3), opublikowana w 2008 roku, stanowi obecną wersję standardu X.509. Ta wersja dodaje wsparcie dla rozszerzeń certyfikatów.

Ta sekcja ma służyć jako ogólne źródło dla pól certyfikatów i rozszerzeń certyfikatów dostępnych w certyfikatach X.509. Aby uzyskać więcej informacji o polach certyfikatów i rozszerzeniach certyfikatów, w tym typach danych, ograniczeniach i innych szczegółach, zobacz specyfikację RFC 5280 .

Pola wersji 1

Poniższa tabela opisuje pola certyfikatów wersji 1 dla certyfikatów X.509. Wszystkie pola zawarte w tej tabeli są dostępne w kolejnych wersjach certyfikatów X.509.

Pola wersji 2

Poniższa tabela opisuje pola dodane dla wersji 2, zawierając informacje o wydawcy certyfikatu. Te pola są jednak rzadko wykorzystywane. Wszystkie pola zawarte w tej tabeli są dostępne w kolejnych wersjach certyfikatów X.509.

Pola Wersji 3

Poniższa tabela opisuje pole dodane dla wersji 3, reprezentujące zbiór rozszerzeń certyfikatów X.509.

Rozszerzenia certyfikatów

Rozszerzenia certyfikatów, wprowadzone wraz z wersją 3, zapewniają metody przypisywania większej liczby atrybutów użytkownikom lub kluczom publicznym oraz zarządzania relacjami między organami certyfikacji. Więcej informacji o rozszerzeniach certyfikatów można znaleźć w sekcji Rozszerzenia Certyfikatów w specyfikacji RFC 5280 .

Standardowe rozszerzenia

Standard X.509 definiuje rozszerzenia zawarte w tej sekcji do wykorzystania w infrastrukturze klucza publicznego Internetu (PKI).

Prywatne rozszerzenia Internetu

Rozszerzenia zawarte w tej sekcji są podobne do standardowych rozszerzeń i mogą być używane do kierowania wniosków do informacji online o wydawcy CA lub podmiotie certyfikatu.

Formaty certyfikatów

Certyfikaty można zapisywać w różnych formatach. Azure IoT Hub uwierzytelnianie zazwyczaj wykorzystuje formaty Privacy-Enhanced Mail (PEM) oraz Personal Information Exchange (PFX). Poniższa tabela opisuje powszechnie używane pliki i formaty reprezentujące certyfikaty.

Certyfikaty z podpisem własnym

Możesz uwierzytelnić urządzenie do swojego huba IoT do celów testowych, używając dwóch certyfikatów podpisanych samodzielnie. Ten typ uwierzytelniania bywa nazywany uwierzytelnianiem odciskiem kciuka , ponieważ certyfikaty są identyfikowane za pomocą obliczonych wartości skrótów zwanych odciskami palców lub odciskami palców. Te obliczone wartości skrótów są wykorzystywane przez IoT Hub do uwierzytelniania Twoich urządzeń.

Tworzenie certyfikatu z podpisem własnym

Możesz użyć protokołu OpenSSL , aby utworzyć certyfikaty z podpisem własnym. Poniższe kroki pokazują, jak uruchomić polecenia OpenSSL w połopie bash, aby utworzyć samodzielnie podpisany certyfikat i pobrać odcisk certyfikatu, który może być użyty do uwierzytelniania urządzenia w IoT Hub.

1. Wykonaj następujące polecenie, aby wygenerować klucz prywatny i utworzyć plik klucza prywatnego (.key) zakodowanego przez PEM, zastępując następujące zastępcze ich wartościami. Klucz prywatny wygenerowany przez następujące polecenie wykorzystuje algorytm RSA z szyfrowaniem 2048-bitowym.

   {KeyFile}. Nazwa pliku klucza prywatnego.

   openssl genpkey -out {KeyFile} -algorithm RSA -pkeyopt rsa_keygen_bits:2048
   

2. Wykonaj następujące polecenie, aby wygenerować żądanie podpisu certyfikatu PKCS #10 (CSR) i utworzyć plik CSR (.csr), zastępując następujące zastępcze ich wartościami. Upewnij się, że podałeś identyfikator urządzenia IoT dla swojego samodzielnie podpisanego certyfikatu, gdy pojawi się pytanie.

   {KeyFile}. Nazwa pliku klucza prywatnego.

   {CsrFile}. Nazwa pliku CSR.

   {DeviceID}. Nazwa twojego urządzenia IoT.

   openssl req -new -key {KeyFile} -out {CsrFile}
   
   Country Name (2 letter code) [XX]:.
   State or Province Name (full name) []:.
   Locality Name (eg, city) [Default City]:.
   Organization Name (eg, company) [Default Company Ltd]:.
   Organizational Unit Name (eg, section) []:.
   Common Name (eg, your name or your server hostname) []:{DeviceID}
   Email Address []:.
   
   Please enter the following 'extra' attributes
   to be sent with your certificate request
   A challenge password []:.
   An optional company name []:.
   

3. Wykonaj następujące polecenie, aby sprawdzić i zweryfikować swój CSR, zastępując następujące zastępcze ich wartościami.

   {CsrFile}. Nazwa pliku twojego certyfikatu.

   openssl req -text -in {CsrFile} -verify -noout
   

4. Wykonaj następujące polecenie, aby wygenerować certyfikat podpisany samodzielnie i utworzyć plik certyfikatu zakodowanego przez PEM (.crt), zastępując następujące zastępcze ich wartościami. Polecenie konwertuje i podpisuje twój CSR kluczem prywatnym, generując certyfikat podpisany samodzielnie, który wygasa za 365 dni.

   {KeyFile}. Nazwa pliku klucza prywatnego.

   {CsrFile}. Nazwa pliku CSR.

   {CrtFile}. Nazwa pliku twojego certyfikatu.

   openssl x509 -req -days 365 -in {CsrFile} -signkey {KeyFile} -out {CrtFile}
   

5. Wykonaj następujące polecenie, aby pobrać odcisk palca certyfikatu, zastępując następujące zastępcze ich wartościami. Odcisk palca certyfikatu to obliczona wartość skrótu unikalna dla tego certyfikatu. Potrzebujesz odcisku palca, aby skonfigurować urządzenie IoT w IoT Hub do testowania.

   {CrtFile}. Nazwa pliku twojego certyfikatu.

   openssl x509 -in {CrtFile} -noout -fingerprint
   

Weryfikuj certyfikat ręcznie po przesłaniu

Gdy przesyłasz certyfikat root certificate authority (CA) lub podrzędny certyfikat CA do swojego huba IoT, możesz wybrać automatyczne zweryfikowanie certyfikatu. Jeśli nie wybrałeś automatycznego weryfikacji certyfikatu podczas przesyłania, twój certyfikat jest wyświetlany ze statusem ustawionym na Niezweryfikowany. Musisz wykonać następujące kroki, aby ręcznie zweryfikować swój certyfikat.

1. Wybierz certyfikat, aby zobaczyć okno Szczegóły certyfikatu .

2. Wybierz Wygeneruj kod weryfikacyjny w oknie oknym.

   

3. Skopiuj kod weryfikacyjny do schowka. W kolejnych etapach musisz użyć tego kodu weryfikacyjnego jako przedmiotu certyfikatu. Na przykład, jeśli kod weryfikacyjny to 75B86466DA34D2B04C0C4C9557A119687ADAE7D4732BDDB3, dodaj go jako przedmiot certyfikatu, jak pokazano w kolejnym kroku.

4. Istnieją trzy sposoby generowania certyfikatu weryfikacji:

   • Jeśli używasz skryptu PowerShell dostarczonego przez Microsoft, uruchom utworzenie New-CACertsVerificationCert "<verification code>" certyfikatu o nazwie VerifyCert4.cer, zastępując <verification code> go wcześniej wygenerowanym kodem weryfikacyjnym. Aby uzyskać więcej informacji, zobacz Zarządzanie certyfikatami testowego urzędu certyfikacji dla przykładów i samouczków w repozytorium GitHub dla zestawu SDK urządzenia usługi Azure IoT Hub dla języka C.

   • Jeśli używasz skryptu Bash dostarczonego przez Microsoft, uruchom ./certGen.sh create_verification_certificate "<verification code>" utworzenie certyfikatu o nazwie verification-code.cert.pem, zastępując <verification code> go wcześniej wygenerowanym kodem weryfikacyjnym. Więcej informacji można znaleźć w artykule Zarządzanie testowymi certyfikatami CA, gdzie znajdziesz przykłady i tutoriale w repozytorium GitHub dla Azure IoT Hub Device SDK for C.

   • Jeśli używasz OpenSSL do generowania swoich certyfikatów, najpierw musisz wygenerować klucz prywatny, a następnie wygenerować plik z żądaniem podpisu certyfikatu (CSR). W poniższym przykładzie zastąp <verification code> go wcześniej wygenerowanym kodem weryfikacyjnym:

   openssl genpkey -out pop.key -algorithm RSA -pkeyopt rsa_keygen_bits:2048
   
   openssl req -new -key pop.key -out pop.csr
   
   -----
   Country Name (2 letter code) [XX]:.
   State or Province Name (full name) []:.
   Locality Name (eg, city) [Default City]:.
   Organization Name (eg, company) [Default Company Ltd]:.
   Organizational Unit Name (eg, section) []:.
   Common Name (eg, your name or your server hostname) []:<verification code>
   Email Address []:
   
   Please enter the following 'extra' attributes
   to be sent with your certificate request
   A challenge password []:
   An optional company name []:
   

   Następnie utwórz certyfikat używając odpowiedniego pliku konfiguracyjnego dla CA głównego lub podrzędnego CA, oraz pliku CSR. Poniższy przykład pokazuje, jak użyć OpenSSL do utworzenia certyfikatu z pliku konfiguracyjnego CA root oraz pliku CSR.

   openssl ca -config rootca.conf -in pop.csr -out pop.crt -extensions client_ext
   

   Więcej informacji znajdziesz w Tutorial - Tworzenie i przesyłanie certyfikatów do testowania.

5. Wybierz nowy certyfikat w widoku Szczegóły certyfikatu .

6. Po przesłaniu certyfikatu wybierz Sprawdź. Status certyfikatu powinien zmienić się na Zweryfikowany.

Więcej informacji

Aby uzyskać więcej informacji o certyfikatach X.509 i ich zastosowaniu w IoT Hub, zobacz następujące artykuły:

• Przewodnik dla laików po żargonie certyfikatów X.509
• Zrozum, jak certyfikaty X.509 CA są wykorzystywane w IoT