問題タブ [certificate]

私は現在、XML 署名を使用して 2 台のマシン間でファイルを安全に転送するソフトウェアを開発しています。独自の CA からの X.509 証明書をキーとして使用しています。

CA (Windows 2003 サーバー) は、いくつかの種類の証明書 (電子メール証明書、サーバー証明書など) を提供します。

XML署名用に生成する必要があるのはどれですか? 証明書に署名するための私の知識には「デジタル署名」拡張機能が必要ですが、それは、証明書要求に記入するときに Windows Server 2003 が提供するものにどのようにマップされますか?

また、優れたドキュメントへのポインタも役立ちます.x509に関するGoogle検索は、証明書に関する他のトピックに関する記事のホワイトノイズに溺れています.

私の使用例は非常に単純です: 私は GUI アプリケーションを持っており、このアプリケーション内でサービスをホストしていますが、このサービスのクライアントは UserName で安全に認証できる必要があります (私が望む唯一のことは、メッセージを暗号化して誰もできないことを確認することです)クライアントのパスワードを取得するためにスニッフィングしますが、それ以上のセキュリティは気にしません)。

そのため、GUI アプリケーションに証明書を同梱し、ホスト (GUI アプリケーション内にある...少し汚れていることはわかっています) が証明書を使用してメッセージを暗号化したいと考えています。

私の質問は次のとおりです。私の要件では、ホスト マシンのストア内に証明書をインストールする必要がありますか? すべてのホストに対して makecert を使用して新しい証明書を生成する義務がありますか?

アプリケーションを展開する最も簡単な方法は何ですか?

(クライアント アプリケーションを制御しているため、証明書の検証は問題になりません)

Windows SDKには、証明書を使用してファイルに署名できるsigntool.exeというツールが付属しています。私は同じことをする必要がありますが、バックグラウンドサービスであるため、同じことを行うためのライブラリ（できればマネージコードですが、COMでも可能です）を探しています。何か案は？

答えが見つかりました。X.509証明書を使用して.NETでファイルに署名する方法は次のとおりです。

ここで、certificateは、証明書を含む.pfxファイルへのパスであり、fileToSignは署名するファイルです。

顧客の内部ネットワークでは、IE6 SP1 (Win2K 上) を使用して SSL サイトにリクエストを送信し、1 つの証明書検証リクエストを確認できますが、IE6 SP2 (XP 上) を使用すると、13 の個別の証明書検証リクエストが発生します。言うまでもなく、これによりページの読み込みが大幅に遅くなります。

Firefox は、不要な証明書検証リクエストなしで問題なくページを読み込みます。

サーバーは、かなり新しいランプ スタックを実行する Apache です。すべてのサーバー証明書/CA チェーン構成は問題ないようです (ユーザーは信頼できる証明書で認証でき、システムはそのサーバー証明書を使用して他のシステムと通信できます)。

構成の観点からできることはありますか? 他のアイデアはありますか？

現在、アプリケーションの 1 つの MSI パッケージに取り組んでいます。それはうまくいきます。ただし、インストールが開始される前に、予想される UAC ウィンドウが表示され、不明な発行元からのこのプログラムを信頼するかどうかを尋ねられます。私は UAC 自体には関心がありませんが、Unidentified Publisherに関心があります。どうすればそれを変更できますか? 特別な証明書が必要だと聞きました... その場合、どこで取得できますか?

_{(ソース: backuphowto.info )}

当社の Web サービスは、次のコードを含むサードパーティ ライブラリをラップしています。

IIS 6 アプリケーション プールで Active Directory サービス アカウントを使用しています (対話型ログイン機能はありません)。「指定されたファイルが見つかりません」というエラーでサービスが失敗します。エラーの原因をRSACryptoServiceProvider provider = new RSACryptoServiceProvider();. サード パーティのアセンブリは、暗号化プロセスを x509 ファイル ベースの証明書に依存しており、サービス アカウントにはキー フォルダーへの読み取り/書き込みアクセス権があります。さらに、サービス アカウントには、次に対する読み取り、書き込み、変更の権限があります。

「C:\Documents and Settings\All Users\Application Data\Microsoft\Crypto\RSA\MachineKeys」.

コード：

FileMon をクラックして開いたところ、その AppPool に FILE NOT FOUND があり、その後にまったく同じファイルに別の SUCCESS があることに気付きました。

私はここで私の要素から外れています。なぜこれが見られるのかについて誰か考えがありますか?

単一の証明書を保持するJavaキーストア（.jksファイル）があります。このキーストアから.pfxファイルを作成するにはどうすればよいですか？

私は現在、CA証明書とそのCA証明書の子証明書をいくつか作成したプロジェクトに取り組んでいます。証明書は、SAMLV2セットアップでサーバー間の通信を保護するために使用されるため、IDプロバイダー用の証明書とサービスプロバイダー用の証明書を用意します。ユーザー/ブラウザーは証明書を検証しないため、カスタムCAを信頼する必要があるのはサーバーのみです。私の証明書ツリーは次のようになります。

• CustomRootCACert
  • CustomIdentityProviderCert
  • CustomServiceProviderCert

今では、自家製の証明書を本番環境で使用するのは悪いと多くの人が言っています。しかし、私が理由を尋ねると、人々は通常、セキュリティについて何かをつぶやくだけで、詳細には決して入りません。自分の証明書を本番環境で使用しない技術的な理由はありますか？何も考えられません...もちろん、ルート証明書の制御を失うと、だれでもあらゆる種類の証明書の作成を開始できることに気付きます。ただし、この場合、サーバーに証明書をインストールし、それらを使用するようにsamlアプリケーションを構成する必要があります。そうして初めて、彼らは私のアプリケーションへの偽のsamlリクエストとレスポンスを生成し始めることができました。

これが唯一の問題である場合、このソリューション（本番環境で自家製の証明書を使用）は、現在のログイン設定よりも優れています。

Zendサイトでツールを見つけました。しかし、それは国ごとにZCEを達成した人だけを示しています。

PHP 5用のZCEを使用する予定ですが、世界中でZend認定エンジニアが何人いるか知りたいだけです。

ありがとう...

スマートカードから証明書にアクセスし、c# で個人証明書ストアを作成しないようにするにはどうすればよいですか? また、RSACryptoProvider でスマート カード証明書の秘密鍵を使用するにはどうすればよいですか?

ありがとう

ウォーリー