security - 如何确定用于扩展符合 X.509 的数字签名的有效 OID？

Question

我需要一个 OID，用于将自定义扩展(已 ASN1.encoded)添加到 X.509v3/PKCS#7 数字签名。我不在乎它是否具有互操作性；这是一个私有(private)专有应用程序(实际上是一个研究项目)。现在我什至不关心它是否是在某些专有应用程序中使用的 OID，尽管显然我不能长时间使用该 OID。

目前我一直在使用 1.2.3.4.5，它位于我正在使用的加密库 (cryptlib) 的测试代码中。但是，签名创建崩溃了，我不知道这是否是原因。我确实知道该库在检查输入时至少会拒绝一些无效的 OID。

Answer 1

我怀疑问题在于您没有正确编码用作 ASN.1 OBJECT ID 对象的 OID。我知道 Cryptlib 但没有使用过它，所以我不能确定它崩溃的原因，但我怀疑原因是无效编码，而不仅仅是选择了不合适的 OID 值。我怀疑 Cryptlib 对您提供的 OID 值有任何意义(除非您可能为已知的证书扩展提供 OID，例如具有意外值的“基本约束”)。

我从 http://www.imc.org/ietf-pkix/pkix-oid.asn 注意到PKIX 定义了一个用于测试的 OID 范围，如果您(滥用)使用该范围内的 oid 进行自己的(内部、非官方)测试，我希望您不会让任何人感到困惑。测试 OID 是以 1.3.6.1.5.5.7.13 开头的任何内容。

我对你所说的“X.509v3/PKCS#7 数字签名”有点担心……X.509 和 PKCS#7 确实有很大不同。我从您关于自定义“扩展”的谈话中了解到，它是您尝试创建的 X.509v3 证书，而不是 PKCS#7 签名......这是正确的吗？