X.509是# 公钥证书的格式标准, 广泛用于TLS/SSL安全通信或者其他需要认证的环境中。X.509证书可以由# CA颁发，也可以自签名产生。

1 Overview {#1-overview}

X.509证书中主要含有公钥、身份信息、签名信息和有效性信息等信息。这些信息用于构建一个验证公钥的体系，用来保证客户端得到的公钥正是它期望的公钥。

公钥 : 非对称密码中的公钥。公钥证书的目的就是为了在互联网上分发公钥。
身份信息 : 公钥对应的私钥持有者的信息，域名以及用途等。
签名信息 : 对公钥进行签名的信息，提供公钥的验证链。可以是CA的签名或者是自签名，不同之处在于CA证书的根证书大都内置于操作系统或者浏览器中，而自签名证书的公钥验证链则需要自己维护（手动导入到操作系统中或者再验证流程中单独提供自签名的根证书）。
有效性信息：证书的有效时间区间，以及# CRL等相关信息。

X.509证书的标准规范RFC5280中详细描述了证书的# 1.1 Encoding Format和# 1.2 Structure。

1.1 Encoding Format {#1-1-encoding-format}

# DER格式 : 二进制格式。
# PEM格式 : ASCII文本格式。在DER格式或者其他二进制数据的基础上，使用base64编码为ASCII文本，以便于在仅支持ASCII的环境中使用二进制的DER编码的数据。

1.2 Structure {#1-2-structure}

一个具体的X.509 v3数字证书结构大致如下 :

CertificateVersion NumberSerial NumberSignature Algorithm IDIssuer NameValidity periodNot BeforeNot AfterSubject nameSubject Public Key InfoPublic Key AlgorithmSubject Public KeyIssuer Unique Identifier (optional)Subject Unique Identifier (optional)Extensions (optional)
...
Certificate Signature Algorithm
Certificate Signature

2 File Extension {#2-file-extension}

X.509有很多种常用的扩展名。不过这些扩展名有时候也是其他类型文件的扩展名，也就是说具有这个扩展名的文件并不一定是X.509证书。也可能只是保存了私钥的文件。

.pem : PEM格式。
.key : PEM格式的私钥文件。
.pub : PEM格式的公钥文件。
.crt : PEM格式的# 公钥证书文件，也可能是DER。
.cer : DER格式的# 公钥证书文件，也可能是PEM。
.crs : PEM格式的# CSR文件，也可能是DER。

3 Reference {#reference}

3.1 公钥证书 {#public-key-certificate}

Public Key Certificate=公钥证书。

参考资料 : https://en.wikipedia.org/wiki/Public_key_certificate

3.2 CA {#certificate-authority}

CA=Certificate Authority=证书颁发机构。

参考资料 : https://en.wikipedia.org/wiki/Certificate_authority

3.3 DER {#distinguished-encoding-rules}

DER=Distinguished Encoding Rules是# X.690标准中的一种二进制编码格式。

下面的文件是https://google.com所使用的DER编码的二进制公钥证书文件(由于是二进制，故而显示乱码)。
{{}}

参考资料 : https://en.wikipedia.org/wiki/X.690#DER_encoding。

3.4 PEM {#privacy-enhanced-mail}

PEM=Privacy Enhanced Mail=隐私增强邮件。

PEM是一种事实上的标准文件格式，采用base64来编码密钥或证书等其他二进制数据，以便在仅支持ASCII文本的环境中使用二进制数据。PEM在RFC7468中被正式标准化。具体格式如下:

-----BEGIN label 1-----
base64 string...
-----END label 1-----
-----BEGIN label 2-----
base64 string...
-----END label 2-----

其中label 1和label 2可以有1~N个。常用的label有(https://tools.ietf.org/html/rfc7468#section-4):

CERTIFICATE : 公钥证书文件。
CERTIFICATE REQUEST : CSR请求证书文件。
PRIVATE KEY : 私钥文件。
PUBLIC KEY : 公钥文件。
X509 CRL : X509证书吊销列表文件。

下面的文件是上面的google.com.der.cer的PEM编码形式 :
{{}}

参考资料 :

https://en.wikipedia.org/wiki/Privacy-Enhanced_Mail
https://tools.ietf.org/html/rfc7468

3.5 CSR {#certificate-signing-request}

CSR=Certificate Signing Request=证书签名请求。

参考资料 : https://en.wikipedia.org/wiki/Certificate_signing_request

3.6 CRL {#certificate-revocation-list}

CRL=Certificate Revocation List=证书吊销列表。

参考资料 : https://en.wikipedia.org/wiki/Certificate_revocation_list

3.7 X.690 {#x690}

X.690是一个ITU-T标准，规定了几种ASN.1编码格式:

BER=Basic Encoding Rules : https://en.wikipedia.org/wiki/X.690#BER_encoding
CER=Canonical Encoding Rules : https://en.wikipedia.org/wiki/X.690#CER_encoding
DER=Distinguished Encoding Rules : https://en.wikipedia.org/wiki/X.690#DER_encoding

参考资料 : https://en.wikipedia.org/wiki/X.690

3.8 ASN.1 {#abstract-syntax-notation-1}

ASN.1=Abstract Syntax Notation 1=抽象标记语法1。

参考资料 : https://en.wikipedia.org/wiki/Abstract_Syntax_Notation_One

[信息安全] 05 X.509 公钥证书的格式标准相关推荐

PKI/CA （5）X.509公钥证书
1. 定义 1.1. 公钥证书既是对某个公钥加上一个签名,形式为:KeyPub + ca_Info + enc_ca_Hash+ addInfo KeyPub 欲签名的公钥 ca_Info身份信息 ...
数字证书X509格式标准简介
证书的标准规范,其中使用最广泛的是由ITU(International TelecommumcationUnion,国际电信联盟)和ISO(IntemationalOrganizationforSta ...
密钥格式标准PKCS,X.509
ASN.1 Abstract Syntax Notation One,抽象语法标记 ASN.1是一种 ISO/ITU-T 标准,用于描述对数据进行表示.编码.传输和解码.它提供了一整套正规的格式用于描 ...
【Http】加解密生成 X.509格式，DER编码，后缀名.cer 加密公钥证书
1. 背景因为遇到了问题:参考 [Https]keytool 导入证书到本地 Exception: Input not an X.509 certificate 然后就想查查这个怎么解决搜到了如下 ...
RFC2459 Internet X.509 公钥基础设施:证书和CRL简介
组织:中国互动出版网(http://www.china-pub.com/) RFC文档中文翻译计划(http://www.china-pub.com/compters/emook/aboutemook ...
rfc2459：Internet X.509 公钥基础设施：证书和 CRL 简介
组织:中国互动出版网(http://www.china-pub.com/) RFC文档中文翻译计划(http://www.china-pub.com/compters/emook/aboutemook ...
pem格式证书编码 x509_公钥证书编码解读
一.文件编码 PEM (Privacy Enhancement Message),定义见结构组成 == {header} body {tail} 示例 -----BEGIN PUBLIC KEY-- ...
android 使用crt/cer/pem格式的公钥证书
问题:android在网络各种教程里面,都是只有BKS的格式,但是一般后端给我们的公钥证书都是crt/cer/pem格式的,这种时候,常用的做法就是用keytools转换成bks格式. 个人感觉 ...
X.509 数字证书结构和实例
http://www.cppblog.com/sleepwom/archive/2010/07/08/119746.html 一. X.509数字证书的编码 X.509证书的结构是用ASN1(Abst ...
x.509数字证书编码详解
转自:http://blog.sina.com.cn/s/blog_49b531af0102eahs.html x.509数字证书编码详解一. X.509数字证书的编码 X.509证书的结构是用AS ...

[信息安全] 05 X.509 公钥证书的格式标准