如何解析DER字节？

Question

我正在尝试为Elasticsearch Searchguard创建证书。一个要求是证书必须包含SAN中的oid:1.2.3.4.5.5。我正在使用GO来生成该证书。经过一些试验和错误后，我发现如果我使用[]byte{0x88, 0x05, 0x2A, 0x03, 0x04, 0x05, 0x05}作为原始ASN.1字节，这将变成SAN中的oid:1.2.3.4.5.5。我想了解这些字节如何表示值oid:1.2.3.4.5.5。我读过this，但我仍感到困惑。你能帮我理解这个[]字节是如何代表oid:1.2.3.4.5.5的吗？

Answer 1

大部分都是How does ASN.1 encode an object identifier?

（X.509 = PKIX）SAN扩展的值的编码在rfc5280中定义为：

SubjectAltName ::= GeneralNames
GeneralNames ::= SEQUENCE SIZE (1..MAX) OF GeneralName
GeneralName ::= CHOICE { // tags implicit
     otherName                 [0]  AnotherName,
     rfc822Name                [1]  IA5String,
     dNSName                   [2]  IA5String,
     x400Address               [3]  ORAddress,
     directoryName             [4]  Name,
     ediPartyName              [5]  EDIPartyName,
     uniformResourceIdentifier [6]  IA5String,
     iPAddress                 [7]  OCTET STRING,
     registeredID              [8]  OBJECT IDENTIFIER }

对于此CHOICE，您的第一个八位字节0x88是特定于上下文的＃8（表示registeredID）的标记值，而您的第二个八位字节0x05是该值的长度，编码为0x2A 0x03 0x04 0x05 0x05。由于此值是对象标识符，因此要对其进行解码，请查看Kaliski文档中OBJECT IDENTIFIER下的编码部分：

BER编码。原始。内容八位字节如下，其中value1，...，valuen表示完整对象标识符中组件的整数值：

1. 第一个八位字节的值为40 * value1 + value2。 （这是明确的，因为value1限于值0,1和2;当value1为0或1时，value2被限制在0到39的范围内;并且，根据X.208，n总是至少为2.）
2. 以下八位字节（如果有）编码value3，...，valuen。每个值编码基数128，最高有效位数，尽可能少的数字，以及每个八位字节的最高有效位，除了值的编码设置为“1”的最后一位。

第一个值八位字节0x2A是十进制42和42 = 40 * 1 + 2，因此OID的前两个分量是1和2.所有剩余的八位字节都没有设置其最高有效位，因此它们每个都编码一个组件：3 4 5 5.由组件1 2 3 4 5 5组成的OID采用通常的简写符号1.2.3.4.5.5（但有其他等效符号，如Kaliski所示）。

顺便提一下，该OID无效，因为它必须位于具有ISO3166数字代码3的国家的成员主体下，并且没有这样的国家。