Как создать сертификат корневого центра сертификации с Bouncy Castle?

Question

Мне нужно создать сертификат X509 с Bouncy Castle, который служит сертификатом CA. Сертификат будет добавлен вручную в список доверенных CA веб-браузеров. Он будет использоваться для подписания сертификатов сервера.

Как это сделать? Помимо обычных атрибутов сертификата есть некоторые дополнительные вещи, которые необходимо включить (критический атрибут говорит, что это CA, ...).

Он должен работать как минимум в наиболее важных браузерах (конечно, только в тех, которые позволяют конфигурировать корневые ЦС).

Answer 1

Я сделал это:

KeyPairGenerator rsa = KeyPairGenerator.getInstance("RSA"); 
rsa.initialize(4096); 
KeyPair kp = rsa.generateKeyPair(); 

Calendar cal = Calendar.getInstance(); 
cal.add(Calendar.YEAR, 1); 

byte[] pk = kp.getPublic().getEncoded(); 
SubjectPublicKeyInfo bcPk = SubjectPublicKeyInfo.getInstance(pk); 

X509v1CertificateBuilder certGen = new X509v1CertificateBuilder(
     new X500Name("CN=CA Cert"), 
     BigInteger.ONE, 
     new Date(), 
     cal.getTime(), 
     new X500Name("CN=CA Cert"), 
     bcPk 
); 

X509CertificateHolder certHolder = certGen 
     .build(new JcaContentSignerBuilder("SHA1withRSA").build(kp.getPrivate())); 

BASE64Encoder encoder = new BASE64Encoder(); 

System.out.println("CA CERT"); 
System.out.println(X509Factory.BEGIN_CERT); 
encoder.encodeBuffer(certHolder.getEncoded(), System.out); 
System.out.println(X509Factory.END_CERT); 

System.exit(0);