序列号是X509证书的唯一密钥吗？

Question

证书序列号是X509证书的唯一密钥吗？ 用户选择证书，程序将序列号存储在首选项中。 以下代码会返回所选证书吗？

public static X509Certificate2 GetCertificateBySerialNumber(string serialNumber)
{
    X509Certificate2 selectedCertificate = null;
    X509Store store = null;
    try
    {
        // get certificate from the store "My", "CurrentUser"
        store = new X509Store(StoreName.My, StoreLocation.CurrentUser);
        store.Open(OpenFlags.ReadOnly | OpenFlags.OpenExistingOnly);
        X509Certificate2Collection allCertificates = (X509Certificate2Collection)store.Certificates;
        X509Certificate2Collection foundCertificates = (X509Certificate2Collection)allCertificates.Find(X509FindType.FindBySerialNumber, serialNumber, false);

        // select the first certificate in collection
        foreach (X509Certificate2 certificate in foundCertificates)
        {
            selectedCertificate = certificate;
            break;
        }
    }
    finally
    {
        if (store != null)
        {
            store.Close();
        }
    }

    return selectedCertificate;
}

更新：按照 jglouie 的建议，我最终使用了证书指纹。

Answer 1

不需要。例如，OpenSSL 允许用户在创建证书时设置序列号。

请参阅：https://www.openssl.org/docs/manmaster/ man1/openssl-x509.html

-set_serial n

指定要使用的序列号。此选项可与-key、-signkey 或-CA 选项一起使用。如果与-CA选项结合使用，则不使用序列号文件（由-CAserial选项指定）。

序列号可以是十进制或十六进制（如果前面有 0x）。

Answer 2

TL;DR：您必须使用颁发者名称 + 序列号的复合密钥。如果您需要简单的密钥，请使用证书的指纹。

---

引用来自 security.stackexchange 的@ThomasPornin：

在证书中，选择序列号由 CA 颁发
证书。只是写在证书上而已。 CA 可以
以任何认为合适的方式选择序列号，不一定
随机（并且必须适合 20 个字节）。 CA应该选择
唯一的序列号，即 CA 的唯一序列号。你不能指望
全球唯一的序列号；在X.509的梦幻世界里，
它是全球唯一的发行者DN+序列号对（每个CA
拥有自己独特的专有名称，并注意不要重复使用
序列号）。

指纹是根据完整证书计算的哈希值，
其中包括其所有字段，包括签名。那个是
对于给定的证书，全球独一无二，直至其固有的
所使用的哈希函数的抗碰撞性。微软软件
倾向于使用 SHA-1，其一些理论缺陷是已知的，
但尚未产生实际碰撞。

来自：https://security.stackexchange.com/questions/35691/what-is-the-difference- Between-serial-号码和指纹

Answer 3

正如另一个答案中提到的，序列号在 CA 内必须是唯一的。因此序列号不能单独用作证书的唯一ID——来自不同CA的证书可以具有相同的序列号。您需要存储 Issuer 和 SerialNumber 属性的组合。另外，对于自签名证书和自制的CA软件编号很可能会发生冲突，因为很多人会从0开始编号。

Answer 4

是的，根据 X.509 规范，序列号对于特定 CA 是唯一的：

4.1.2.2 序列号

序列号是 CA 分配给每个
证书。对于由某个机构颁发的每个证书来说，它必须是唯一的
给定的 CA（即发行者名称和序列号标识唯一的
证书）。