VC++网络安全编程范例（2）-创建自签名证书

数字证书采用公钥体制，即利用一对互相匹配的密钥进行加密、解密。每个用户自己设定一把特定的仅为本人所知的私有密钥(私钥)，用它进行解密和签名；同时设定一把公共密钥(公钥)并由本人公开，为一组用户所共享，用于加密和验证签名。当发送一份保密文件时，发送方使用接收方的公钥对数据加密，而接收方则使用 自己的私钥解密，这样信息就可以安全无误地到达目的地了。通过数字的手段保证加 密过程是一个不可逆过程，即只有用私有密钥才能解密。在公开密钥密码体制中，常用的一种是RSA体制。其数学原理是将一个大数分解成两个质数的乘积，加密和解密用的是两个不同的密钥。即使已知明文、密文和加密密钥(公开密钥)，想要推导出解密密钥(私密密钥)，在计算上是不可能的。按现在的计算机技术水平，要破解目前采用的1024位RSA密钥，需要上千年的计算时间。公开密钥技术解决了密钥发布的管理问题，商户可以公开其公开密钥，而保留其私有密钥。购物者可以用人人皆知的公开密钥对发送的信息进行加密，安全地传送给商户，然后由商户用自己的私有密钥 进行解密
　　用户也可以采用自己的私钥对信息加以处理，由于密钥仅为本人所有，这样就产生了别人无法生成的文件，也就形成了数字签名。采用数字签名，能够确认以下两点：
　　(1)保证信息是由签名者自己签名发送的，签名者不能否认或难以否认；
　　(2)保证信息自签发后到收到为止未曾作过任何修改，签发的文件是真实文件
　　数字签名具体做法是:
　　(1)将报文按双方约定的HASH算法计算得到一个固定位数的报文摘要。在数学上保证:只要改动报文中任何一位，重新计算出的报文摘要值就会与原先的值不相符。这样就保证了报文的不可更改性
　　(2)将该报文摘要值用发送者的私人密钥加密，然后连同原报文一起发送给接收者，而产生的报文即称数字签名
　　(3)接收方收到数字签名后，用同样的HASH算法对报文计算摘要值，然后与用发送者的公开密钥进行解密解开的报文摘要值相比较。如相等则说明报文确实来自所称的发送者。

代码如下，分析见注释

#ifndef _WIN32_WINNT #define _WIN32_WINNT 0x0400 #endif #include <stdio.h> #include <windows.h> #include <wincrypt.h> #define MY_ENCODING_TYPE (PKCS_7_ASN_ENCODING | X509_ASN_ENCODING) #define CERT_SUBJECT_NAME "TEST_SIGNER_NAME" //函数申明 void HandleError(char *s); HCRYPTPROV GetCryptProv(); void ByteToStr( DWORD cb, void* pv, LPSTR sz); void main(void) { //------------------------------------------------------------------- // 变量申明与初始化 HCERTSTORE hCertStore = NULL; HCRYPTPROV hCertProv = NULL; HCRYPTKEY hKeySign = NULL; PCCERT_CONTEXT pCertCtxSign = NULL; BYTE *Encrypted = NULL; DWORD EncryptedLen = 0; BYTE *Decrypted= NULL; DWORD DecryptedLen = 0; CERT_NAME_BLOB certName = {0}; certName.cbData = 0; certName.pbData = NULL; DWORD cbNameEncoded; BYTE* pbNameEncoded; //给CERT_NAME_BLOB结构certName赋值 CERT_RDN_ATTR rgNameAttr[] = { "2.5.4.3", CERT_RDN_PRINTABLE_STRING, strlen(CERT_SUBJECT_NAME), (BYTE*)CERT_SUBJECT_NAME}; CERT_RDN rgRDN[] = { 1, &rgNameAttr[0]}; CERT_NAME_INFO Name = { 1, rgRDN}; //------------------------------------------------------------------- // 编码CERT_NAME_INFO结构，确定编码后的数据长度 if(CryptEncodeObject( MY_ENCODING_TYPE, // Encoding type X509_NAME, // Structure type &Name, // Address of CERT_NAME_INFO structure NULL, // pbEncoded &cbNameEncoded)) // pbEncoded size { printf("首次调用函数CryptEncodeObject成功. \n"); } else { HandleError("首次调用函数CryptEncodeObject失败.\ \n公私密钥对不能从密钥容器中导出. \n"); } //------------------------------------------------------------------- // 分配内存 if(!(pbNameEncoded = (BYTE*)malloc(cbNameEncoded))) HandleError("pbNamencoded malloc operation failed.\n"); //------------------------------------------------------------------- // 编码结构体 if(CryptEncodeObject( MY_ENCODING_TYPE, // Encoding type X509_NAME, // Structure type &Name, // Address of CERT_NAME_INFO structure pbNameEncoded, // pbEncoded &cbNameEncoded)) // pbEncoded size { printf("此结构体已被编码. \n"); } else { free(pbNameEncoded); HandleError("第二次调用函数CryptEncodeObject 失败.\n"); } //给certName赋值 certName.cbData = cbNameEncoded; certName.pbData = pbNameEncoded; //获取CSP句柄 hCertProv = GetCryptProv() ; //产生签名密钥对 if (CryptGenKey(hCertProv, AT_SIGNATURE, CRYPT_EXPORTABLE, &hKeySign)) { printf("在服务证书容器中创建签名密钥成功!\n"); } else { HandleError("Protection::Initialise -不能在服务证书容器中创建签名密钥- \n"); } SYSTEMTIME cs; GetSystemTime(&cs); cs.wYear += 1; //创建自签名证书 if(pCertCtxSign = CertCreateSelfSignCertificate( hCertProv, //CSP句柄 &certName, //证书客体名称数据结构指针 0, //标志位。默认行为，创建私钥信息，创建签名 NULL, //密钥信息结构 NULL, //签名算法，null表示默认算法SHA1RSA NULL, //有效期起始时间 ，null表示取当前系统时间 &cs, //有效期终止时间,null表示起始时间加1年 NULL)) //未设置扩展属性 { printf("一个自签名证书已经被创建.\n"); } else { HandleError("CertCreateSelfSignCertificate Error!"); } free(certName.pbData); //打开证书库 if ((hCertStore = CertOpenStore(CERT_STORE_PROV_SYSTEM, 0, NULL , CERT_SYSTEM_STORE_CURRENT_USER , L"My"))) { printf("打开证书库成功.\n"); } else { HandleError("调用函数CertOpenStore 失败.\n"); } //把证书加入证书库 if(CertAddCertificateContextToStore(hCertStore, pCertCtxSign,CERT_STORE_ADD_NEW,NULL)) { printf("将自签名证书加入到系统证书库成功.\n"); } else { printf("将自签名证书添加到系统证书库中失败.\n"); } //释放空间 if (Encrypted) free(Encrypted); if (Decrypted) free(Decrypted); if (pCertCtxSign) CertFreeCertificateContext(pCertCtxSign); if (hKeySign) CryptDestroyKey(hKeySign); if (hCertStore) CertCloseStore(hCertStore, 0); if (hCertProv) CryptReleaseContext(hCertProv, 0); } // End of main //获取加密提供者句柄 HCRYPTPROV GetCryptProv() { HCRYPTPROV hCryptProv; // 加密服务提供者句柄 //获取加密提供者句柄 if(CryptAcquireContext( &hCryptProv, // 加密服务提供者句柄 "ruanou", // 密钥容器名 MS_ENHANCED_PROV, // 加密服务提供者 PROV_RSA_FULL, // 加密服务提供者类型,可以提供加密和签名等功能 0)) // 标志 { printf("加密服务提供者句柄获取成功!\n"); } else { //重新建立一个新的密钥集 if(!CryptAcquireContext(&hCryptProv, "ruanou", MS_ENHANCED_PROV, PROV_RSA_FULL, CRYPT_NEWKEYSET)) { HandleError("重新建立一个新的密钥集出错!"); } } return hCryptProv; } //-------------------------------------------------------------------- // ByteToStr： 转换BYTE类型数组为字符串 //参数：cb[in] 需要转换的BYTE数组的长度 // pv[in] 需要转换的BYTE数组指针 // sz[out] 字符串指针 void ByteToStr( DWORD cb, void* pv, LPSTR sz) { BYTE* pb = (BYTE*) pv; DWORD i; int b; for (i = 0; i<cb; i++) { //pb的前4位转换为字符 b = (*pb & 0xF0) >> 4; *sz++ = (b <= 9) ? b + '0' : (b - 10) + 'A'; //pb的后4位转换为字符 b = *pb & 0x0F; *sz++ = (b <= 9) ? b + '0' : (b - 10) + 'A'; pb++; } *sz++ = 0; } // HandleError：错误处理函数，打印错误信息，并退出程序 void HandleError(char *s) { printf("程序执行发生错误!\n"); printf("%s\n",s); printf("错误代码为: %x.\n",GetLastError()); printf("程序终止执行!\n"); exit(1); }