X.509-certifikat

X.509-certifikat är digitala dokument som representerar en användare, dator, tjänst eller enhet. En certifikatmyndighet (CA), underordnad CA eller registreringsmyndighet utfärdar X.509-certifikat. Certifikaten innehåller den publika nyckeln för certifikatämnet. De innehåller inte personens privata nyckel, som måste förvaras säkert. RFC 5280 dokumenterar offentliga nyckelcertifikat, inklusive deras fält och tillägg. Publika nyckelcertifikat är digitalt signerade och innehåller vanligtvis följande information:

• Information om certifikatämnet
• Den publika nyckeln som motsvarar subjektets privata nyckel
• Information om den utfärdande CA
• De stödda krypterings- och/eller digitala signeringsalgoritmerna
• Information för att fastställa intygets återkallelse och giltighetsstatus

Certifikatfält

Det finns tre inkrementella versioner av X.509-certifikatstandarden, och varje efterföljande version lade till certifikatfält i standarden:

• Version 1 (v1), publicerad 1988, följer den ursprungliga X.509-standarden för certifikat.
• Version 2 (v2), publicerad 1993, lägger till två fält till de fält som ingår i version 1.
• Version 3 (v3), publicerad 2008, representerar den nuvarande versionen av X.509-standarden. Denna version lägger till stöd för certifikattillägg.

Detta avsnitt är avsett som en allmän referens för certifikatfält och certifikatförlängningar som finns tillgängliga i X.509-certifikat. För mer information om certifikatfält och certifikattillägg, inklusive datatyper, begränsningar och andra detaljer, se RFC 5280-specifikationen .

Fält i version 1

Följande tabell beskriver Version 1-certifikatfält för X.509-certifikat. Alla fält som ingår i denna tabell finns tillgängliga i efterföljande X.509-certifikatversioner.

Fält i version 2

Följande tabell beskriver fälten som lagts till för Version 2, som innehåller information om certifikatutgivaren. Dessa fält används dock sällan. Alla fält som ingår i denna tabell finns tillgängliga i efterföljande X.509-certifikatversioner.

Version 3-fält

Följande tabell beskriver fältet som lagts till för Version 3, som representerar en samling X.509-certifikattillägg.

Certifikatförlängningar

Certifikattillägg, som introducerades med Version 3, erbjuder metoder för att koppla fler attribut till användare eller publika nycklar samt för att hantera relationer mellan certifikatutgivare. För mer information om certifikatförlängningar, se avsnittet Certifikatförlängningar i RFC 5280-specifikationen .

Standardtilläggsfunktioner

X.509-standarden definierar de tillägg som ingår i detta avsnitt för användning i Internet public key infrastructure (PKI).

Privata internetutvidgningar

De tillägg som ingår i detta avsnitt liknar standardtillägg och kan användas för att leda ansökningar till onlineinformation om den utfärdande CA eller certifikatämnet.

Certifikatformat

Certifikat kan sparas i olika format. Azure IoT Hub autentisering använder vanligtvis formaten Privacy-Enhanced Mail (PEM) och Personal Information Exchange (PFX). Följande tabell beskriver vanligt använda filer och format som används för att representera certifikat.

Självsignerade certifikat

Du kan autentisera en enhet till din IoT-hub för teständamål genom att använda två självsignerade certifikat. Denna typ av autentisering kallas ibland för tumavtrycksautentisering eftersom certifikaten identifieras med beräknade hashvärden som kallas fingeravtryck eller tumavtryck. Dessa beräknade hashvärden används av IoT Hub för att autentisera dina enheter.

Skapa ett självsignerat certifikat

Du kan använda OpenSSL för att skapa självsignerade certifikat. Följande steg visar hur du kör OpenSSL-kommandon i ett bash-skal för att skapa ett självsignerat certifikat och hämta ett certifikatfingeravtryck som kan användas för att autentisera din enhet i IoT Hub.

1. Kör följande kommando för att generera en privat nyckel och skapa en PEM-kodad privat nyckelfil (.key), där följande platshållare ersätts med deras motsvarande värden. Den privata nyckeln som genereras av följande kommando använder RSA-algoritmen med 2048-bitars kryptering.

   {KeyFile}. Namnet på din privata nyckelfil.

   openssl genpkey -out {KeyFile} -algorithm RSA -pkeyopt rsa_keygen_bits:2048
   

2. Kör följande kommando för att generera en PKCS #10 certifikatsigneringsförfrågan (CSR) och skapa en CSR (.csr)-fil, där följande platshållare ersätts med deras motsvarande värden. Se till att du anger enhets-ID för IoT-enheten för ditt självsignerade certifikat när du blir tillfrågad.

   {KeyFile}. Namnet på din privata nyckelfil.

   {CsrFile}. Namnet på din CSR-fil.

   {DeviceID}. Namnet på din IoT-enhet.

   openssl req -new -key {KeyFile} -out {CsrFile}
   
   Country Name (2 letter code) [XX]:.
   State or Province Name (full name) []:.
   Locality Name (eg, city) [Default City]:.
   Organization Name (eg, company) [Default Company Ltd]:.
   Organizational Unit Name (eg, section) []:.
   Common Name (eg, your name or your server hostname) []:{DeviceID}
   Email Address []:.
   
   Please enter the following 'extra' attributes
   to be sent with your certificate request
   A challenge password []:.
   An optional company name []:.
   

3. Kör följande kommando för att granska och verifiera din CSR, och ersätt följande platshållare med motsvarande värden.

   {CsrFile}. Namnet på ditt certifikat.

   openssl req -text -in {CsrFile} -verify -noout
   

4. Kör följande kommando för att generera ett självsignerat certifikat och skapa en PEM-kodad certifikatfil (.crt), och ersätt följande platshållare med deras motsvarande värden. Kommandot konverterar och signerar din CSR med din privata nyckel, vilket genererar ett självsignerat certifikat som går ut om 365 dagar.

   {KeyFile}. Namnet på din privata nyckelfil.

   {CsrFile}. Namnet på din CSR-fil.

   {CrtFile}. Namnet på ditt certifikat.

   openssl x509 -req -days 365 -in {CsrFile} -signkey {KeyFile} -out {CrtFile}
   

5. Kör följande kommando för att hämta certifikatets fingeravtryck och ersätt de följande platshållarna med motsvarande värden. Fingeravtrycket i ett certifikat är ett beräknat hashvärde som är unikt för det certifikatet. Du behöver fingeravtrycket för att konfigurera din IoT-enhet i IoT Hub för testning.

   {CrtFile}. Namnet på ditt certifikat.

   openssl x509 -in {CrtFile} -noout -fingerprint
   

Verifiera certifikatet manuellt efter uppladdning

När du laddar upp ditt root certificate authority (CA)-certifikat eller underordnade CA-certifikat till din IoT-hubb kan du välja att automatiskt verifiera certifikatet. Om du inte valde att automatiskt verifiera ditt certifikat vid uppladdning, visas ditt certifikat med statusen satt till Overifierad. Du måste utföra följande steg för att manuellt verifiera ditt certifikat.

1. Välj certifikatet för att se dialogen Certifikatdetaljer .

2. Välj Generera verifieringskod i dialogen.

   

3. Kopiera verifieringskoden till urklipp. Du måste använda denna verifieringskod som certifikatämne i följande steg. Till exempel, om verifieringskoden är 75B86466DA34D2B04C0C4C9557A119687ADAE7D4732BDDB3, lägg till det som ämnet för ditt certifikat som visas i nästa steg.

4. Det finns tre sätt att generera ett verifieringscertifikat:

   • Om du använder PowerShell-skriptet som tillhandahålls av Microsoft, kör New-CACertsVerificationCert "<verification code>" för att skapa ett certifikat som heter VerifyCert4.cer, ersätt <verification code> med den tidigare genererade verifieringskoden. Mer information finns på Hantering av test-CA-certifikat för exempel och handledningar i GitHub-arkivet för Azure IoT Hub Device SDK för C.

   • Om du använder Bash-skriptet som tillhandahålls av Microsoft, kör ./certGen.sh create_verification_certificate "<verification code>" för att skapa ett certifikat som heter verification-code.cert.pem och ersätt <verification code> med den tidigare genererade verifieringskoden. För mer information, se Managing test CA certificates för exempel och handledningar i GitHub-arkivet för Azure IoT Hub Device SDK för C.

   • Om du använder OpenSSL för att generera dina certifikat måste du först skapa en privat nyckel och sedan en certifikatsigneringsförfrågan (CSR)-fil. I följande exempel, ersätt <verification code> med den tidigare genererade verifieringskoden:

   openssl genpkey -out pop.key -algorithm RSA -pkeyopt rsa_keygen_bits:2048
   
   openssl req -new -key pop.key -out pop.csr
   
   -----
   Country Name (2 letter code) [XX]:.
   State or Province Name (full name) []:.
   Locality Name (eg, city) [Default City]:.
   Organization Name (eg, company) [Default Company Ltd]:.
   Organizational Unit Name (eg, section) []:.
   Common Name (eg, your name or your server hostname) []:<verification code>
   Email Address []:
   
   Please enter the following 'extra' attributes
   to be sent with your certificate request
   A challenge password []:
   An optional company name []:
   

   Skapa sedan ett certifikat med lämplig konfigurationsfil för antingen rot-CA:n eller den underordnade CA:n, samt CSR-filen. Följande exempel visar hur man använder OpenSSL för att skapa certifikatet från en rot-CA-konfigurationsfil och CSR-filen.

   openssl ca -config rootca.conf -in pop.csr -out pop.crt -extensions client_ext
   

   För mer information, se Tutorial - Skapa och ladda upp certifikat för testning.

5. Välj det nya certifikatet i vyn Certifikatdetaljer .

6. Efter att certifikatet har laddats upp, välj Verifiera. Certifikatets status bör ändras till verifierad.

Mer information

För mer information om X.509-certifikat och hur de används i IoT Hub, se följande artiklar:

• Lekmannahandledningen till X.509-certifikatjargong
• Förstå hur X.509 CA-certifikat används inom IoT