Wie kann ich Go dazu bringen, ein selbstsigniertes Zertifikat für die TLS-Client-Authentifizierung zu akzeptieren?

Ich arbeite mit AWS API Gateway und einem Go-Back-Ende. Um sicherzustellen, dass alle Verbindungen über das API-Gateway laufen, muss ich die TLS-Client-Authentifizierung verwenden (auch bekannt als Zwei-Wege-Authentifizierung, gegenseitige Authentifizierung).Wie kann ich Go dazu bringen, ein selbstsigniertes Zertifikat für die TLS-Client-Authentifizierung zu akzeptieren?

Im Prinzip funktioniert das mit so etwas wie:

func enableClientAuth(server *http.Server, clientCertFile string) error { 
    clientCert, err := ioutil.ReadFile(clientCertFile) 
    if err != nil { 
     return err 
    } 
    caCertPool := x509.NewCertPool() 
    caCertPool.AppendCertsFromPEM(clientCert) 

    tlsConfig := &tls.Config{ 
     ClientAuth: tls.RequireAndVerifyClientCert, 
     ClientCAs: caCertPool, 
    } 
    tlsConfig.BuildNameToCertificate() 
    server.TLSConfig = tlsConfig 
    return nil 
}

Das Problem, das ich habe, ist dieser Fehler:

tls: failed to verify client's certificate: x509: certificate signed by unknown authority (possibly because of "x509: invalid signature: parent certificate cannot sign this kind of certificate" while trying to verify candidate authority certificate "ApiGateway")

Dieses Zertifikat, weil der Client zu sein scheint selbst signiert, Es handelt sich jedoch nicht um ein CA-Zertifikat. Go akzeptiert die Signatur nicht. (Unterbindet dies nicht den Zweck eines selbstsignierten Zertifikats? Die meisten selbstsignierten Zertifikate, die ich gesehen habe, sind keine CA-Zertifikate.) Ich habe leider keine Kontrolle darüber, wie das Client-Zertifikat generiert oder gesendet wird. Alles wird von AWS erledigt. Kann ich etwas tun, um ein Zertifikat im ClientCas-Zertifikatspool zu erhalten, das Go dazu veranlasst, das API Gateway-Clientzertifikat zu akzeptieren?

Beispiel Client-Zertifikat:

Quelle

2016-03-30 Derek

Haben Sie Ihr selbst signiertes Zertifikat laden und markieren Sie ihn als 'IsCA', wie http://stackoverflow.com/questions/22666163/golang-tls-with-selfsigned- Zertifikat –

Ist das Zertifikat vom Client das Stammzertifikat oder das Kind? – Griffin

Dieser Schlüssel * kann * nicht von sich aus verifiziert werden: aus dem [RFC] (https://tools.ietf.org/html/rfc5280#section-4.2.1.9) "Wenn die Erweiterung der Basisbedingungen in einer Version nicht vorhanden ist 3 Zertifikat, oder die Erweiterung ist vorhanden, aber die cA boolean wird nicht geltend gemacht, dann darf der zertifizierte öffentliche Schlüssel nicht verwendet werden, um Zertifikatsignaturen zu überprüfen " – JimB

@ JohnWeldon Kommentar führte mich zu der Lösung, die ist, dass ich die Client-Zertifikat-Struktur ändern müssen, nachdem ich es laden. Dies erfordert die Decodierung der PEM und das Zerlegen des Zertifikats. Für das API-Gateway-Client-Zertifikat musste ich BasicConstraintsValid und IsCA auf True und KeyUsage auf KeyUsageCertSign setzen; für mein lokal generiertes cert brauchte ich nur die letzten beiden. Ändern der enableClientAuth() func in meiner Frage:

func enableClientAuth(server *http.Server, clientCertFile string) error { 
    pemBytes, err := ioutil.ReadFile(clientCertFile) 
    if err != nil { 
     return err 
    } 

    pemBlock, _ := pem.Decode(pemBytes) 
    clientCert, err := x509.ParseCertificate(pemBlock.Bytes) 
    if err != nil { 
     return err 
    } 

    clientCert.BasicConstraintsValid = true 
    clientCert.IsCA = true 
    clientCert.KeyUsage = x509.KeyUsageCertSign 

    caCertPool := x509.NewCertPool() 
    caCertPool.AddCert(clientCert) 

    tlsConfig := &tls.Config{ 
     ClientAuth: tls.RequireAndVerifyClientCert, 
     ClientCAs: caCertPool, 
    } 
    tlsConfig.BuildNameToCertificate() 
    server.TLSConfig = tlsConfig 
    return nil 
}

Quelle

2016-03-30 23:24:11 Derek

Wie kann ich Go dazu bringen, ein selbstsigniertes Zertifikat für die TLS-Client-Authentifizierung zu akzeptieren?

Antwort

Verwandte Themen