我希望能够使用带有 aws golang SDK 的 AWS SNS 发送 iOS APNS 推送通知。我按照以下说明创建了一个 p12 文件:https://support-aws.s3.amazonaws.com/Exporting-APNS-Cert-Keychain-Mac.pdf 现在为了获得私钥和证书，我需要执行以下 openssl 等效命令:

openssl pkcs12 -in MyCertificates.p12 -out MyCer.pem -clcerts -nokeys
openssl pkcs12 -in MyCertificates.p12 -out MyKey.pem -nocerts -nodes
openssl pkcs8 -topk8 -inform pem -in MyKey.pem -outform pem -nocrypt -out MyKeyCorrectFormat.pem

我无法在 golang 中找到执行此操作的方法，我们将不胜感激。问题似乎是将私钥转换为 pkcs8 格式。

编辑:

这就是我一直在尝试做的事情(为了编译你需要将 github.com/youmark/pkcs8 中的第一个导入更改为 golang.org/x/crypto/pbkdf2):

import (
    "crypto/rsa"
    "crypto/x509"
    "errors"
    "fmt"
    "io/ioutil"

    "github.com/youmark/pkcs8"
    "golang.org/x/crypto/pkcs12"
)

func main() {
    b, err := ioutil.ReadFile("myP12File.p12")
    if err != nil {
        fmt.Println(err)
        return
    }
    password := "123456"
    _, pKey, err := Decode(b, password)
    pKeyPkcs8, err := pkcs8.ConvertPrivateKeyToPKCS8(pKey, passwordBytes)
    if err != nil {
        fmt.Println(err)
    }
    fmt.Println(string(pKeyPkcs8))
}

// Decode and verify an in memory .p12 certificate (DER binary format).
func Decode(p12 []byte, password string) (*x509.Certificate, *rsa.PrivateKey, error) {
    // decode an x509.Certificate to verify
    privateKey, cert, err := pkcs12.Decode(p12, password)
    if err != nil {
        return nil, nil, err
    }
    if err := verify(cert); err != nil {
        return nil, nil, err
    }

    // assert that private key is RSA
    priv, ok := privateKey.(*rsa.PrivateKey)
    if !ok {
        return nil, nil, errors.New("expected RSA private key type")
    }
    return cert, priv, nil
}

// verify checks if a certificate has expired
func verify(cert *x509.Certificate) error {
    _, err := cert.Verify(x509.VerifyOptions{})
    if err == nil {
        return nil
    }

    switch e := err.(type) {
    case x509.CertificateInvalidError:
        switch e.Reason {
        case x509.Expired:
            return ErrExpired
        default:
            return err
        }
    case x509.UnknownAuthorityError:
        // Apple cert isn't in the cert pool
        // ignoring this error
        return nil
    default:
        return err
    }
}

// Certificate errors
var (
    ErrExpired = errors.New("certificate has expired or is not yet valid")
)

打印转换后的 key 时我得到的是乱码，所以我猜我的解码过程某处有问题。

最佳答案

我想你在那里。您已将 key 转换为 PKCS#8 格式，但它显示为乱码，因为它是以二进制 DER 格式打印的。 key 只需要以 pem 格式编码。

测试它的一种方法是创建您自己的包含 self signed certificate & key 的 pkcs#12 文件。一个好处是您可以改变到期持续时间来执行您的证书到期错误处理:

go run generate_cert.go -ca -duration 30m -host gooble.com

它生成 key.pem 和 cert.pem。组合 key 和证书:

cat key.pem cert.pem > both.pem

打包到 pkcs#12:

openssl pkcs12 -export -in both.pem -out bundle.12 -nodes -password pass:123456

这里的 bundle.12 是二进制 DER 格式的 pkcs#12 文件，包含证书和私钥，受密码保护。

运行 go 程序(参见下面的源代码)以提取证书和 key :

go run pk.go -in bundle.12 -outkey key8.pem -outcert outcert.pem -password 123456

提取的证书与原始证书相同。提取的私钥类似于原始私钥，但现在是 pkcs#8 格式。

您可以从 pkcs8 文件中提取原始 rsa key 。原始 key.pem 与 key.final.pem 相同:

openssl rsa -in key8.pem -out key.final.pem

您还可以验证提取的 pkcs#8 私钥与原始证书具有相同的模数:

openssl x509 -in cert.pem -noout -modulus
Modulus=AEB5770C4DA8D...05E12398BE1

openssl rsa -in key8.pem -noout -modulus
Modulus=AEB5770C4DA8D...05E12398BE1

请注意，提取的 pkcs#8 私钥是未加密的；根据 key 的使用方式，这可能不是您想要的。

这是 go 程序 (pk.go) 的一个稍微修改的版本:

package main

import (
    "crypto/x509"
    "encoding/pem"
    "errors"
    "flag"
    "github.com/youmark/pkcs8"
    "golang.org/x/crypto/pkcs12"
    "io/ioutil"
    "log"
    "os"
)

var (
    in       = flag.String("in", "", "pkcs#12 input file (private key and certificate only)")
    password = flag.String("password", "", "to unlock the pkcs#12 bundle")
    outkey   = flag.String("outkey", "", "output filename of private key in pkcs#8 PEM format")
    outcert  = flag.String("outcert", "", "output filename of certificate in PEM format")
)

func main() {
    flag.Parse()

    if *in == "" || *password == "" || *outkey == "" || *outcert == "" {
        flag.Usage()
        os.Exit(1)
    }

    data, err := ioutil.ReadFile(*in)
    if err != nil {
        log.Fatal(err)
    }

    privateKey, certificate, err := pkcs12.Decode(data, *password)
    if err != nil {
        log.Fatal(err)
    }

    if err := verify(certificate); err != nil {
        log.Fatal(err)
    }

    keyBytes, err := pkcs8.ConvertPrivateKeyToPKCS8(privateKey)
    if err != nil {
        log.Fatal(err)
    }

    //could write private key as binary DER encoded (instead of pem below)
    //_, err = ioutil.WriteFile(*outkey,keyBytes,0644)

    //write private key as pem
    keyFile, err := os.Create(*outkey)
    if err != nil {
        log.Fatal(err)
    }
    defer keyFile.Close()
    err = pem.Encode(keyFile, &pem.Block{Type: "PRIVATE KEY", Bytes: keyBytes})
    if err != nil {
        log.Fatal(err)
    }

    certFile, err := os.Create(*outcert)
    if err != nil {
        log.Fatal(err)
    }
    defer certFile.Close()
    err = pem.Encode(certFile, &pem.Block{Type: "CERTIFICATE", Bytes: certificate.Raw})
    if err != nil {
        log.Fatal(err)
    }
}

// verify checks if a certificate has expired
func verify(cert *x509.Certificate) error {
    _, err := cert.Verify(x509.VerifyOptions{})
    if err == nil {
        return nil
    }

    switch e := err.(type) {
    case x509.CertificateInvalidError:
        switch e.Reason {
        case x509.Expired:
            return ErrExpired
        default:
            return err
        }
    case x509.UnknownAuthorityError:
        // Apple cert isn't in the cert pool
        // ignoring this error
        return nil
    default:
        return err
    }
}

// Certificate errors
var (
    ErrExpired = errors.New("certificate has expired or is not yet valid")
)

希望对您有所帮助。

关于go - 如何从 PKCS#12 容器中提取私钥并将其保存为 PKCS#8 格式？，我们在Stack Overflow上找到一个类似的问题： https://stackoverflow.com/questions/35590600/