問題タブ [pki]

私は現在、WSE3.0またはWCFを介したSOAPメッセージの暗号化と署名のトピックを研究しています。私はパブリックインターネットを含む分散アプリケーション開発に参加したことがないので、X.509証明書が不足していて、Windows証明書ストアメカニズムでどのように機能するかについての知識があります。非対称暗号についてではありません。それはPKIエコシステムについてです。

したがって、Windowsのセキュリティメカニズム、証明書ストア、CAトラストチェーンを適切に使用および管理する方法、およびWSEやWCFなどのAPIが相互作用して証明書を使用する方法について、包括的な説明を提供する記事や書籍を集めたいと思います。 。推奨事項？

私は現在、XML 署名を使用して 2 台のマシン間でファイルを安全に転送するソフトウェアを開発しています。独自の CA からの X.509 証明書をキーとして使用しています。

CA (Windows 2003 サーバー) は、いくつかの種類の証明書 (電子メール証明書、サーバー証明書など) を提供します。

XML署名用に生成する必要があるのはどれですか? 証明書に署名するための私の知識には「デジタル署名」拡張機能が必要ですが、それは、証明書要求に記入するときに Windows Server 2003 が提供するものにどのようにマップされますか?

また、優れたドキュメントへのポインタも役立ちます.x509に関するGoogle検索は、証明書に関する他のトピックに関する記事のホワイトノイズに溺れています.

Oracle ウォレットを使用して、Oracle リリースのスクリプトを作成します。

mkstore を使用して、秘密鍵を Oracle ウォレットに追加または削除できます。

Java または C# を使用して、Oracle ウォレット内にある秘密鍵を読み取りたいと考えています。

誰かがそれを行う方法のサンプルコードを共有できますか.

この投稿では、Java を使用してウォレットを開く方法を説明していますが、秘密鍵は読み取られません。 http://blog.mikesidoti.com/2007/04/opening-oracles-wallet.html

DOD CAC カード ベースのクライアント証明書認証を Apache で機能させるために必要なすべての手順を理解しましたが、受け取った証明書からユーザーの適切な GUID を取得するのに苦労しています。CAC カードが更新されても変更されない、証明書で使用可能な GUID はありますか? 次のような SSL_CLIENT_S_DN を使用することを考えていました。

/C=US/O=米国政府/OU=DoD/OU=PKI/OU=CONTRACTOR/CN=LAST_NAME.FIRST_NAME.MIDDLE_NAME.0123456789

ですが、CACカードを更新すると末尾の数字が変わると聞きました。これは本当ですか？GUID に使用するより良い情報はありますか? ユーザーの電子メール アドレスも取得したいのですが、証明書から受け取った情報に記載されていません。表示されていないカスタム拡張機能で電子メール アドレスを使用できますか?

ありがとう！

関連リンクは、このMSDN の記事です。

「サブジェクト」という用語について、私はいつも混乱しています。たとえば、sk オプションは「サブジェクトのキー コンテナーの場所を指定します」、sr オプションは「サブジェクトの証明書ストアの場所を指定します」などです。ここでの件名とは正確には何を意味するのでしょうか? 証明書の所有者？証明書の発行者 (例: 証明書を発行するルート CA)? または、他の何か？

makecertコマンドに関する 2 つの簡単な質問

次のコマンドを使用しているとします。

秘密鍵は証明書マネージャーのどこかに自動的に登録されますか、それとも秘密鍵はファイル root.pvk にあるだけですか?

次のコマンドを使用しているとします。

このコマンドを実行した後、秘密鍵はどこに保存されますか (オプションを指定しなかったため-pe、秘密鍵は証明書に埋め込まれませんが、どこにありますか) ?

(makecert で -pe オプションを使用して) 秘密鍵をエクスポート可能にすると、理論的には、エクスポート可能な秘密鍵と公開鍵 (証明書の公開鍵) の両方が得られます。これらは別のマシンに転送またはインポートできます。

それで、私の質問は、.pfx ファイル (秘密鍵と公開鍵を含む鍵交換ファイル) を作成する必要があるのはなぜですか? 秘密鍵を証明書でエクスポート可能にすることで達成できなかった、pfx ファイルがカバーできるシナリオはありますか?

前もって感謝します、ジョージ

国防総省の CAC カードを使用して Apache (Linux 内) 認証を実装するにはどうすればよいですか? できると聞いたことがありますが、詳細はわかりません。現在、Apache 認証に Windows Active Directory を使用していますが、ログイン/パスワードのみを使用しています。まもなく、要件は CAC カードのみを使用するようになります。ヒントをいただければ幸いです。

http://support.microsoft.com/kb/892424

Active Directory で「対話型ログオンにはスマート カードが必要」が設定されている場合、ランダムなパスワードが生成されます。スマート カードを使用して Web アプリケーションから LDAP 経由でユーザーを認証するにはどうすればよいですか?

ユーザーが誰であるかを知るにはどうすればよいですか? 証明書にアクセスする方法はありますか? セッションから取得できますか？

公開鍵のインフラストラクチャとは何かを知る必要があります。これは、WCFのWsHttpbindingのように、要求と応答の送信に関連していることを知っておく必要があります。