x509

深入解析 X.509 证书策略（Certificate Policies）扩展，理解证书信任策略、OID 和证书类型之间的关系。

X.509 证书中的 Name Constraints（名称约束）扩展是 PKI 安全的核心机制之一。它允许 CA 证书限制其下级证书的适用范围，防止被滥用来签发任意域名的证书。本文详细介绍其工作原理和实际使用方法。 什么是 Name Constraints Name Constraints 是 X.509 证书标准（RFC 5280）定义的一个关键扩展，主要用于 CA 证书。它声明了该 CA 可以签发证书的域名和 IP 地址范围。 作用场景 限制中间 CA 权限：企业私有 CA 可以限制下级 CA 只能签发特定域名的证书 分层授权：在大型组织中实现细粒度的证书管理权限划分 安全边界：防止某个被入侵的子 CA 被用来签发其他域名的证书 约束类型 Name Constraints 包含两种类型的约束： 类型 说明 permitted 允许使用的名称范围 excluded 禁止使用的名称范围 这两个可以同时使用，excluded 优先级更高。 证书格式 Name Constraints 扩展的 ASN.1 结构如下： 1 2 3 4 5 6 7 8 9 10 11 12 NameConstraints ::= SEQUENCE { permittedSubtrees [0] GeneralSubtrees OPTIONAL, excludedSubtrees [1] GeneralSubtrees OPTIONAL } GeneralSubtrees ::= SEQUENCE SIZE (1....

X.509 证书的核心功能由扩展（Extensions）机制实现。扩展允许在证书中添加额外信息，定义证书的用途、约束、身份验证方式等关键属性。本文详细介绍常见扩展的作用和使用方法。 什么是证书扩展 X.509 v3 引入的扩展机制是现代 PKI 的基础。每个扩展由 OID（对象标识符）、关键性标志和扩展值组成。 扩展分为两类： 关键扩展（Critical）：证书使用者必须理解和处理的扩展，否则证书验证失败 非关键扩展（Non-critical）：可选的扩展，可被忽略但不应影响验证 常见扩展详解 1. Basic Constraints（基本约束） 定义证书是否为 CA（证书颁发机构）以及证书链深度。 1 2 3 4 5 6 7 8 # CA 证书 basicConstraints=CA:TRUE # 终端实体证书 basicConstraints=CA:FALSE # 无限制的 CA 路径长度 basicConstraints=CA:TRUE,pathlen:10 实际输出： 1 2 X509v3 Basic Constraints: CA:TRUE 2. Key Usage（密钥用法） 指定证书密钥的允许用途。 1 2 3 4 5 6 7 8 # 服务器认证证书 keyUsage=digitalSignature,keyEncipherment # CA 签名证书 keyUsage=digitalSignature,keyCertSign,cRLSign # 代码签名证书 keyUsage=digitalSignature,nonRepudiation 常见值： digitalSignature：数字签名 keyEncipherment：密钥加密 dataEncipherment：数据加密 keyCertSign：证书签名 cRLSign：CRL 签名 3....