使用Go crypto/x509验证RSA SSA PSS证书遇签名算法未实现报错

问题概述 #

手动将根证书注入crypto/x509信任池无异常，但验证证书时返回错误：

x509: certificate signed by unknown authority (possibly because of "x509: cannot verify signature: algorithm unimplemented" while trying to verify candidate authority certificate "Root CA 06/22/RSA")

通过OpenSSL确认证书签名算法细节：

Signature Algorithm: rsassaPss
         Hash Algorithm: sha512
         Mask Algorithm: mgf1 with sha512
          Salt Length: 0x01BE

使用CheckSignature或Verify方法验证均返回上述错误，预期验证能正常通过。

原因分析 #

Go标准库crypto/x509对RSASSA-PSS签名的验证存在参数限制：

1. Go 1.13及以上版本才支持RSASSA-PSS验证，使用旧版本会直接报错；
2. 即使是新版本，crypto/x509的默认验证逻辑要求RSASSA-PSS的盐长度必须等于哈希算法的输出长度（SHA512对应64字节），但本次证书使用的盐长度为0x01BE（446字节），不符合默认要求，导致验证失败。

解决方案 #

绕过crypto/x509的默认验证逻辑，直接使用crypto/rsa包的VerifyPSS方法手动指定签名参数：

步骤1：确认Go版本 #

确保使用Go 1.13或更高版本，版本过低需先升级。

步骤2：手动实现RSASSA-PSS验证 #

替换原代码中CheckSignature的逻辑，改为手动调用rsa.VerifyPSS：

// 先从rootChain中匹配到对应的根证书rootCert（需根据证书主题等字段匹配）
rootRsaKey, ok := rootCert.PublicKey.(*rsa.PublicKey)
if !ok {
    err := rend.JSON(writer, http.StatusNotAcceptable, map[string]string{"error": "root CA does not use RSA public key"})
    if err != nil {
        log.Errorf("could not render response: %v", err)
    }
    return
}

// 从证书签名信息中提取参数（或从OpenSSL输出中固定获取）
hashFunc := crypto.SHA512
mgfHashFunc := crypto.SHA512
saltLength := 0x01BE // 对应证书中的Salt Length

// 验证签名：注意使用证书的RawTBSCertificate（待签名的核心内容）而非整个Raw证书
err := rsa.VerifyPSS(
    rootRsaKey,
    hashFunc,
    certificate.RawTBSCertificate,
    certificate.Signature,
    &rsa.PSSOptions{
        SaltLength: saltLength,
        Hash:       mgfHashFunc,
    },
)
if err != nil {
    err := rend.JSON(writer, http.StatusNotAcceptable, map[string]string{"error": fmt.Sprintf("certificate signature verification failed: %v", err)})
    if err != nil {
        log.Errorf("could not render response: %v", err)
    }
} else {
    err := rend.JSON(writer, http.StatusOK, map[string]string{"status": "certificate is valid"})
    if err != nil {
        log.Errorf("could not render response: %v", err)
    }
}

关键说明 #

• RawTBSCertificate是证书中真正被签名的部分，验证签名必须使用该字段，不能用整个证书的Raw字节；
• 若证书的PSS参数（哈希算法、掩码算法、盐长度）是动态变化的，可通过解析证书签名算法的ASN.1结构动态获取，避免硬编码。

内容的提问来源于stack exchange，提问作者Kevin Mai