证书的私钥是否导出为其他值？

Question

我已经创建了一个自签名证书（ pfx ）以进行测试。

我可以通过以下方式导出ist公钥：

X509Certificate2 cer = new X509Certificate2();
X509Store store = new X509Store(StoreLocation.LocalMachine);
store.Open(OpenFlags.ReadOnly);

var certificateCollection = store.Certificates.Find(...);
var cert = certificateCollection[0] ;
Console.WriteLine(Convert.ToBase64String(cert.Export( X509ContentType.Cert ), Base64FormattingOptions.InsertLineBreaks));

结果：

MIIDFTCCAf2gAw...........eFUpBB9C0/UNRmD7EAg==

这与openssl命令一致：

$ openssl pkcs12 -in domain.name.pfx -clcerts -nokeys -out domain.name.crt

结果：

-----BEGIN CERTIFICATE-----
MIIDFTCCAf2gAw........9C0/UNRmD7EAg==
-----END CERTIFICATE-----

但是，当我通过C＃导出私钥时：

Convert.ToBase64String(cert.Export( X509ContentType.Pfx ), Base64FormattingOptions.InsertLineBreaks)

我得到：

MIIDFTCCAf2gAw............OVeFUpBB9C0/UNRmD7EAg==

当使用openssl命令时：

$ openssl pkcs12 -in domain.name.pfx -nocerts -nodes -out domain.name.key

我得到：

-----BEGIN PRIVATE KEY-----
MIIEvQIBADANBgkqhkiG9w.........6HNjF2h7uuFdvbH2VAVg=
-----END PRIVATE KEY-----

题：

为什么在私钥中得到不同的结果？ 以及如何解决C＃代码以产生与openssl相同的结果？

（注意-我不是在谈论-----begin/end keys----- boundries，而是实际值。

附加信息， PFX文件

Answer 1

为什么在私钥中得到不同的结果？

您正在尝试做两件事。 通过openssl，您正在使用包含私钥和证书的pfx文件。 在C＃中，您使用带有私钥的证书表示形式，并且正在导出到pfx文件！

以及如何解决C＃代码以产生与openssl相同的结果？

C＃没有友好的功能，只能从X509Certificate2导出私钥（以类似opensl的​​方式）。 正如@ darksquirell42在评论中提到的，您可以使用X509Certificate2.PrivateKey属性，然后将其ToXmlString(true)为RSACryptoServiceProvider并执行ToXmlString(true) 。 但这将为您提供xml结构中的私钥参数。 然后，您将必须采用每个参数并构造一个ASN.1结构PKCS＃1或（更好的IMHO） PKCS＃8 。 但是C＃默认没有友好的方法来处理ASN.1对象。

或者，您可以像BouncyCastle一样使用某些加密库为您完成此任务。 BouncyCastle的这种方法可能会有所帮助。

Answer 2

X509ContentType.Cert表示形式相同，因为证书是静态结构。 如果将其导出为循环，则始终会得到相同的答案。

X509ContentType.Pfx表示形式有所不同，因为PFX结构中存在随机盐。 每个证书一个，每个私钥一个，最后一个。 如果您在循环中将相同的公共/专用对作为PFX导出，则每次都会不同（288位随机数据​​）。

base64数据的末尾有所不同，因为它包含最后一个盐和其余数据（包括加密的证书盐和加密的密钥盐）上的MAC。 它还包含一个整数工作因子，Windows将其选择为2000，OpenSSL将其选择为2048； 进一步区分OpenSSL和Windows导出。

因此，您所看到的是设计使然。 如果您需要稳定的出口，则必须做其他事情。 如果您只是担心它们的不同，那几乎可以肯定。