如何在Go中生成适用于TLS客户端认证的客户端证书及解决密钥用法不兼容报错

触发报错的具体问题点 #

• 客户端证书KeyUsage配置完全错误：给非CA的终端客户端证书配置了x509.KeyUsageCRLSign，这个权限是专门给CA证书做证书吊销列表签名用的，不具备TLS客户端认证所需的数字签名能力，校验时会直接被判定为用途不匹配。
• 根CA证书ExtKeyUsage配置存在硬限制：根模板里强制设置ExtKeyUsage: []x509.ExtKeyUsage{x509.ExtKeyUsageServerAuth}，相当于限定这张CA只能签发用于服务端认证的证书，当用它签发带ExtKeyUsageClientAuth的客户端证书时，链上的CA用途和终端证书用途会被判定为不兼容。
• 客户端证书缺失基础约束扩展标记：设置IsCA: false时没有开启BasicConstraintsValid: true，生成的证书中基础约束扩展处于无效状态，会被X.509校验逻辑认定为格式不合规。

修正后的可运行配置 #

客户端证书模板 #

var clientTemplate = x509.Certificate{
    SerialNumber: big.NewInt(1),
    Subject: pkix.Name{
        CommonName: "client-10.10.0.4",
    },
    NotBefore:      time.Now().Add(-10 * time.Second),
    NotAfter:       time.Now().AddDate(10, 0, 0),
    // 终端客户端证书的标准密钥用法：覆盖TLS客户端认证所需的数字签名、密钥加密能力
    KeyUsage:       x509.KeyUsageDigitalSignature | x509.KeyUsageKeyEncipherment,
    ExtKeyUsage:    []x509.ExtKeyUsage{x509.ExtKeyUsageClientAuth},
    BasicConstraintsValid: true,
    IsCA:           false,
    MaxPathLenZero: true,
    IPAddresses:    []net.IP{net.ParseIP("10.10.0.4")},
    DNSNames:       []string{},
}

根CA证书模板 #

var rootTemplate = x509.Certificate{
    SerialNumber: big.NewInt(1),
    Subject: pkix.Name{
        Country:      []string{"DE"},
        Organization: []string{"Company Co."},
        CommonName:   "Root CA",
    },
    NotBefore:             time.Now().Add(-10 * time.Second),
    NotAfter:              time.Now().AddDate(10, 0, 0),
    // CA证书的标准密钥用法：证书签名、CRL签名
    KeyUsage:              x509.KeyUsageCertSign | x509.KeyUsageCRLSign,
    // 移除CA上的ExtKeyUsage硬限制，避免限制可签发的证书类型
    BasicConstraintsValid: true,
    IsCA:                  true,
    MaxPathLen:            2,
    IPAddresses:           []net.IP{},
    DNSNames:              []string{},
}

验证逻辑 #

verifyOptions := x509.VerifyOptions{
    DNSName: "10.10.0.4",
    Roots:   certPool,
    KeyUsages: []x509.ExtKeyUsage{x509.ExtKeyUsageClientAuth},
}

注：certificate specifies an incompatible key usage报错的核心触发逻辑是Go X.509校验会逐节点检查证书链上的密钥用途、扩展密钥用途是否匹配验证要求：原配置下客户端证书不具备客户端认证所需的签名能力，加上根CA被硬限制为仅支持服务端认证，两层校验不匹配就会直接抛出该错误。

内容的提问来源于stack exchange，提问作者Nathan