go - Go :使用存储在智能卡上的客户端证书进行HTTPS请求(Windows)

为了执行客户端证书认证(相互认证)，我发现的所有示例都假定可以访问私钥(例如，从文件中)。包含私钥和公钥的证书生成如下:

cert, err := tls.LoadX509KeyPair("certs/client.pem", "certs/client.key")

现在，我必须从智能卡中获取证书(以及据我所知无法提取的私钥-应该通过PKCS＃11进行签名)。到目前为止，我能够枚举Windows证书存储区中的证书:

store, err := syscall.UTF16PtrFromString("MY")
storeHandle, err := syscall.CertOpenSystemStore(0, store)
if err != nil {
    fmt.Println(syscall.GetLastError())
}

var certs []*x509.Certificate
var cert *syscall.CertContext
for {
    cert, err = syscall.CertEnumCertificatesInStore(storeHandle, cert)
    if err != nil {
        if errno, ok := err.(syscall.Errno); ok {
            if errno == CRYPT_E_NOT_FOUND {
                break
            }
        }
        fmt.Println(syscall.GetLastError())
    }
    if cert == nil {
        break
    }
    // Copy the buf, since ParseCertificate does not create its own copy.
    buf := (*[1 << 20]byte)(unsafe.Pointer(cert.EncodedCert))[:]
    buf2 := make([]byte, cert.Length)
    copy(buf2, buf)
    if c, err := x509.ParseCertificate(buf2); err == nil {
        for _, value := range c.ExtKeyUsage {
            if value == x509.ExtKeyUsageClientAuth {
                fmt.Println(c.Subject.CommonName)
                fmt.Println(c.Issuer.CommonName)
                certs = append(certs, c)
            }
        }
    }
}

这种方式获取的证书确实是从智能卡中获取的。以后使用时，身份验证失败:

cer:= tls.Certificate{Certificate: [][]byte{certs[0].Raw}, Leaf: certs[0],}

tlsConfig := &tls.Config{
    Certificates:       []tls.Certificate{cer},
    RootCAs:            caCertPool,
    InsecureSkipVerify: true,
}

transport := &http.Transport{TLSClientConfig: tlsConfig}

client := http.Client{
    Timeout:   time.Minute * 2,
    Transport: transport,
}

我想失败是可以预料的，因为我没有提供私钥。

Java(SunMSCAPI)和.NET似乎使用了SmartCard上的私钥，例如我的操作与上述操作大致相同，并且身份验证“有效”。

用Go可以实现这一目标吗？

最佳答案

您为tls.Certificate指定的私钥可以是实现crypto.Signer的任何对象，根据文档:



并正好用于这种用途。

一旦可以访问基础密钥，则实现接口(interface)就非常简单。例如，thalesignite/crypto11为PKCS＃11密钥提供了这种实现。