問題タブ [certificate]

Java アプレットがそのような恐ろしいセキュリティ警告を表示しないように、Javaコード署名証明書を探しています。しかし、私が見つけたそれらを提供しているすべての場所は、（私の意見では）年間200ドル以上のように、あまりにも高額です. 調査中、コード署名証明書はSSL証明書とほぼ同じように見えます。

私が持っている主な質問: SSL 証明書を購入して、それを使用して Java アプレットに署名することは可能ですか?

WSE3.0のX.509証明書でメッセージレイヤーセキュリティを使用するWebサービスがあります。このサービスは、X509v3ポリシーを使用して、soapheaderのさまざまな要素に署名します。

証明書に対してカスタムチェックを行う必要があるため、カスタムX509SecurityTokenManagerを実装して、web.configにセクションを追加しました。

Wseproxyを使用してサービスを呼び出すと、エラー（NotImplementedException）が発生しますが、呼び出しはトラフになり、以下の例では、コンソールに「foo」が出力されます。

問題は、何が欠けているのかということです。web.configのbinarySecurityTokenManagerタイプは、RDI.Server.X509TokenManagerの完全なクラス名と一致します。X509TokenManagerはX509SecurityTokenManagerを継承します（ただし、メソッドは単なるスタブです）。

簡潔にするために編集した、web.configの最初の数行

（ところで、ここスタックオーバーフローで1つのフォーマットxmlをうまく行うにはどうすればよいですか？）

私は当分の間.NET2.0（VS2005）で立ち往生しているので、WCFは問題外だと思います。そうでなければ、システム内のクライアントとサービスの両方を制御できるため、相互運用性は問題になりません。

サーバーに特定の証明書がインストールされています。その証明書には有効な日付があり、Windows 証明書 MMC スナップインで完全に有効であるように見えます。

しかし、HttpRequest で使用するために証明書を読み取ろうとすると、見つかりません。使用されるコードは次のとおりです。

xxxシリアル番号です。引数trueは「有効な証明書のみ」を意味します。返されたコレクションは空です。

奇妙なことにfalse、無効な証明書が受け入れられることを示す を渡すと、コレクションには 1 つの要素 (指定されたシリアル番号を持つ証明書) が含まれます。

結論として、証明書は有効に見えますが、Findメソッドはそれを無効として扱います! なんで？

ストアで証明書ヘルプのフィールドを列挙するにはどうすればよいですか。具体的には、ログオンしたユーザーに発行された個人証明書のフィールドを列挙しようとしています。

サービス間のルーティング機能を構築しています。元のサービスとルーティングを行うサービスの構成は同じです。両方とも、次のバインド構成で netTcpBinding を使用しています。

netTcpバインディング

セキュリティ モード="メッセージ"

メッセージ clientCredentialType="UserName"

サービスの動作では、マシンにインストールした AspNet メンバーシップ プロバイダーとクライアント証明書を使用します。

メッセージセキュリティをオフにすると問題なく中継されますが、オンにすると次の例外が発生します。

「メッセージを処理できませんでした。これは、アクション ' http://foo/Whatever ' が正しくないか、メッセージに無効または期限切れのセキュリティ コンテキスト トークンが含まれているか、またはバインディング間に不一致があるためである可能性があります*。セキュリティ非アクティブのためにサービスがチャネルを中止した場合、コンテキスト トークンは無効になります。サービスがアイドル セッションを途中で中止しないようにするには、サービス エンドポイントのバインディングの受信タイムアウトを早めに増やしてください。(私のものを強調)

私の考えでは、証明書がメッセージに対して 2 回 (1 回は元の呼び出しで、次にリレーで) 動作しており、これがメッセージのセキュリティ トークンを破損させているのです。

質問:

1. 私の考えは的を射ていますか？

2. トークン サービスの複雑さなしにルーティングにメッセージ セキュリティを使用し続ける方法はありますか?

Macキーチェーンにコード署名拡張機能のみ（他の拡張機能はない）の自己署名ルート証明書があります。私はこれを使用して、Appleのcodesignツールを使用して∞labsから出てくるすべてのコードに署名します。これはうまく機能します。

私は自分自身を少し拡張して、Java開発を行うことを考えていました。Appleがキーチェーンから読み取るKeyStore実装を提供していることは知っています。また、チェーン内にあるすべての証明書を次のように一覧表示できます。

ただし、jarsignerを使用して単純なテストJARファイルに署名しようとすると、次のようになります。

私は何が間違っているのですか？

（証明書は、署名IDを取得するためのAppleの指示に従って作成されました。）

私は Firefox 用の拡張機能をいくつか開発しましたが、拡張機能に署名を付けるのが非常に難しいことに悩まされています。拡張機能が署名されていない場合、インストール時に「作成者が検証されていません」と表示されますが、私にはそれが間違っているように見えます。

ソースから .xpi ファイルをビルドする簡単なビルド スクリプトと、PKZip のライセンス コピー (多くのチュートリアルによれば、Firefox が必要とする署名付き xpi ファイルをビルドするために必要) がありますが、見つかりませんでした。実際に機能する無料/安価な証明書またはトリックを実行する一連の指示を取得する方法。

私の拡張機能は無料なので、商用の証明書に 400 ドルも費やしたくありませんが、50 ドル程度を費やしてもかまいません。私は Linux と Windows の両方のマシンを持っていますが、私のビルド スクリプトは現在 Windows を使用しており、それが最も使いやすいでしょう。

これをどのように解決しましたか？拡張機能のビルド時に自動的かつ安全に署名するにはどうすればよいですか?

編集: Google のヒットには感謝していますが、それらが提供する手順は、実際に機能する証明書を取得する方法について十分ではありません。私が得る感覚は、この古典を思い出させます：

私は別のサーバーからコピーした NSS cert db (cert8.db および key3.db) を使用して Linux (GUI なし) で XPI に署名しようとしています。

新しいボックスでは、新しいテスト証明書で署名できますが、古い証明書データベースを使用しようとすると、次のように不平を言います:

signtool: 問題の署名データ (不明な発行者)

Certutil は、使用しようとしている証明書 im を * でリストし、CA もそこに存在します。

この証明書データベースは、このようにコンピューター間で転送できますか? または、セットアップする必要がある他のファイルはありますか?

ティア・マイク

HTTPS 経由で安全な通信を行うために継承したクライアント コードを調べていますが、サーバー証明書の共通名をチェックしていないようです (例: 'CN = "example.com"' を実際の URL に対してクライアント アプリはさまざまな環境と通信する必要があるため、これはおそらく意図的なものであり、最初のポータル (例: example.com/main) に接続し、ユーザーが環境を選択した後、アプリは特定の IP にリダイレクトされます。したがって、今後のすべてのリクエストは「 http://127.0.0.1/page 」のようになります。

ただし、SSL の初心者であるため、このチェックを無効にすることの意味がわかりません。私の最初の反応は、他の誰かが私たちの証明書をコピーして、私たちのサーバーの 1 つになりすますことができるため、ある種の中間者攻撃を実行する方が簡単だということです。しかし、共通名のチェックを行っている場合は、カスタム DNS 設定を使用して同じことを行うことができるため、実際には何も得られないようです. これにより、他の方法では無防備になる他の攻撃はありますか?

ありがとう

Java 用の推奨暗号ライブラリ。私が必要としているのは、X.509 証明書を解析してそこに含まれる情報を抽出する機能です。

ありがとう