NET为我们提供了操作数字证书两个主要类.doc

NET为我们提供了操作数字证书的两个主要的类，分为为： System.Security.Cryptography.X509Certificates.X509Certificate2类， 每个这个类的实例可以表示一个证书； System.Security.Cryptography.X509Certificates.X509Store类，可以对保存在计算机安全区域内的证书进行add/remove/get操作。 另外我们可以使用System.Security.Cryptography.X509Certificates.X509Certificate2UI类来显示证书消息的对话框，它就是在ie中的证书查看器的.net实现。 生成证书 在介绍以上类的使用方法之前，我们先要拥有一个数字证书，获取数字证书有三种方法，一是从CA机构申请，二是自己搭建服务器发布证书，三是使用makecert.exe来生成一个证书文件。这里我们使用makecert.exe来生成一个证书文件，用来测试。启动VS2010的命令行，输入对应参数，生成名为TestCertificates的证书文件。如图6-28所示。 图6-28生成证书 makecert.exe的参数读者可以查看帮助，这里只解释图6-28中的参数。 参数说明： -sr CurrentUser：指定主题的证书存储位置。Location可以是 currentuser（默认值）或 localmachine -ss MyTestContainer：指定主题的证书存储名称，输出证书即存储在那里。 -n CN=TestCert：指定主题的证书名称。此名称必须符合 X.500标准。最简单的方法是在双引号中指定此名称，并加上前缀 CN=；例如，CN=myName。 -sky exchange：指定颁发者的密钥类型，必须是 signature、exchange或一个表示提供程序类型的整数。默认情况下，可传入 1表示交换密钥，传入 2表示签名密钥。 -pe：将所生成的私钥标记为可导出。这样可将私钥包括在证书中。 生成的密钥文件被保存在了我们指定的MyTestContainer中，但到哪去查看我们的证书呢？Windows没有给我们准备好直接的管理证书的入口，但我们可以在MMC控制台自行添加。 开始 ? 运行 ? MMC，打开一个空的MMC控制台。 在控制台菜单，文件 ? 添加/删除管理单元 ? 添加按钮 ? 选证书 ? 添加 ? 选我的用户账户 ? 关闭 ? 确定 在控制台菜单，文件 ? 添加/删除管理单元 ? 添加按钮 ? 选证书 ? 添加 ? 选计算机账户 ? 关闭 ? 确定 如图6-29，我们可以查看两个账户的证书管理，在我的账户中可以看到MyTestContainer下的证书TestCert。 图6-29在MMC控制台查看和管理证书 当然我们也可以将证书文件保存为文件，如图6-30所示。 图6-30将证书保存为文件 打开E盘，可以看到生成的证书文件。如图6-31所示。 图6-31生成的证书文件 将证书保存为文件时，我们有三种选择： 带有私钥的证书 由Public Key Cryptography Standards #12，PKCS#12标准定义，包含了公钥和私钥的二进制格式的证书形式，以pfx作为证书文件后缀名。 二进制编码的证书 证书中没有私钥，DER编码二进制格式的证书文件，以cer作为证书文件后缀名。 Base64编码的证书 证书中没有私钥，BASE64编码格式的证书文件，也是以cer作为证书文件后缀名。 右键单击本地的证书文件，我们可以看到安装选项，可以把该证书文件安装到证书存储区。也可在MMC的证书管理台上执行导出任务将存储区的证书导出为文件。这里就不再演示了，读者可以自行实践。 编程操作证书 我们可以通过编程的方式操作操作本地的证书文件和在存储区中的证书。我们以刚才保存在E盘的test.cer文件为例，讲解如何读取本地的证书文件，并将它添加到存储区中。先看代码清单6-17。 代码清单 6-17 操作本地证书文件 class OperCert { internal static byte[] ReadFile(string fileName) { FileStream f = new FileStream(fileName, FileMode.Open, FileAccess.Read); int size = (int)f.Length; byte[] data = new byte[size]; size = f.Read(data, 0, size); f.Close(); return data; } static void M