sha256公钥的哈希

我想读取sha256从公钥证书。证书如下所示。sha256公钥的哈希

我运行下面的命令来读取SHA256哈希值，但它是不是给正确的结果：

openssl x509 -in test.crt -pubkey -noout | openssl rsa -pubin -outform der | \ 
    openssl dgst -sha256 -binary | openssl enc -base64

我得到了一些错误的价值RTy7aSpufwRDWUudgZCwR5Xc7NETd6Imk4YlzvgKTRU=

正确的价值观是：

sha256/i1RfARNCYn9+K3xmRNTaXG9sVSK6TMgY9l8SDm3MUZ4= 
sha256/7HIpactkIAq2Y49orFOOQKurWxmmSFZhBCoQYcRhJ3Y= 
sha256/h6801m+z8v3zbgkRHpq6L29Esgfzhj89C1SyUCOQmqU=

我想知道三个值是如何进来的，是的只有一个是正确的，但为了验证这些值，我运行下面给出的示例程序：

public class Main { 

    public static void main(String[] args) throws IOException { 
     HttpLoggingInterceptor interceptor = new HttpLoggingInterceptor(); 
     interceptor.setLevel(HttpLoggingInterceptor.Level.BODY); 
     String hostName = "www.google.com"; 
     CertificatePinner certificatePinner = new CertificatePinner.Builder() 
       .add(hostName, "sha256/pqrmt") 
       .build(); 
     OkHttpClient client = new OkHttpClient.Builder() 
       .addNetworkInterceptor(interceptor) 
       .certificatePinner(certificatePinner) 
       .build(); 
     Request request = new Request.Builder() 
       .url("https://" + hostName) 
       .build(); 
     client.newCall(request).execute(); 

    } 
}

添加错误的密钥哈希给我一个错误日志，并使用适当的一个让我轻松沟通。

来源

2017-08-14 sector11

证书中只有一个公钥，您从哪里获取3个“正确”值？ –

HI Robbey，我添加了更多的代码，从这些生成更多的哈希，以及我如何验证我生成的哈希是正确的，请看看。 – sector11

您计算值的方式看起来正确，并与[由Mozilla记录]（https://developer.mozilla.org/en-US/docs/Web/HTTP/Public_Key_Pinning）相匹配。是什么让你认为你认为正确的价值观是正确的 - 特别是这三个价值中的哪一个是正确的？ –

SHA256/i1RfARNCYn9 + K3xmRNTaXG9sVSK6TMgY9l8SDm3MUZ4 =

该引脚相匹配的叶证书返回访问时www.google.com：

$ openssl s_client -connect www.google.com:443 |\ 
    openssl x509 -pubkey -noout |\ 
    openssl pkey -pubin -outform der |\ 
    openssl dgst -sha256 -binary |\ 
    openssl enc -base64 
... 
depth=0 ... CN = www.google.com 
i1RfARNCYn9+K3xmRNTaXG9sVSK6TMgY9l8SDm3MUZ4=

但是，如果你仔细查看访问www.google.com时返回的证书，你会发现它是哈是www.google.com的CN。相反，您在问题中包含的证书的CN为*.google.com，即为不同的证书。

$ openssl s_client -connect google.com:443 |\ 
    openssl x509 -pubkey -noout |\ 
    openssl pkey -pubin -outform der |\ 
    openssl dgst -sha256 -binary |\ 
    openssl enc -base64 
... 
depth=0 ... CN = *.google.com 
RTy7aSpufwRDWUudgZCwR5Xc7NETd6Imk4YlzvgKTRU=

正如你所看到的，你已经计算出的公钥指纹是正确的：如果你访问google.com，而不是www.google.com的此证书返回例子。只有您对正确指纹的假设不正确，因为您已经在错误的网站上检查了这些指纹。

来源

2017-08-14 06:22:37

感谢您的详细解答，是否为所有子子域访问设置根证书是一个好主意， – sector11

@ sector11：请不要在评论中提出新问题（即使是后续）因为没有人会期望出现新的问题和答案。相反，问一个新问题。除此之外，在security.stackexchange.com上可能会更好地询问这个问题，但请首先查看有关此主题的现有问题和解答。 –

好的也没问题。 – sector11

sha256公钥的哈希

回答

相关问题