問題タブ [x509]

特定の x.509 証明書に対して有効になっている目的をプログラムで編集する方法はありますか?

この機能は、証明書 mmc スナップイン (下のハイパーリンク) を介して利用できますが、コードを介してアクションを実行する必要があります。できればC#。

証明書のプロパティを変更する

私は OpenSSL の世界に不慣れで、PHP ベースのアプリケーションに SSO を実装しようとしています。私はすでに OpenSSL ライブラリと PHP openssl 拡張機能をセットアップしています。

今、私が知る必要があるのは、どのような手順を踏む必要があり、その参照をどこで見つけることができるかです。私の要件は

1- ユーザーに証明書が提供され、ブラウザは SSL を使用してクライアント認証のためにその証明書を送信します。2- ユーザーはログインの長い認証プロセスを経る必要はなく、証明書がサーバーとハンドシェイクします。3-証明書は自己署名されるか、私の会社がすべての証明書のCAになります。

PHP ベースのアプリケーションでこれらすべてをセットアップする方法と、従うべきすべての手順を教えてください。

2 つのピア間に暗号化された接続を構築する必要があり、両方を認証する必要があります。両方のピアは、もう一方のピア公開鍵のフィンガープリント (SHA256 ハッシュ) を既に共有しています。X509 または OpenPGP キー/証明書は、私のニーズに対して大きすぎてかさばり、セキュリティ モデルに適合しないため、使用していません。

x509モデルを悪用して、M2Crypto(素敵なライブラリ)との接続を構築しようとしています:

• rsa 秘密鍵を指定して、自己署名付きのほとんど空の証明書を作成します。

• 私の証明書を提供している他のピアに接続します

• 他のピア証明書の公開鍵のフィンガープリントを確認します。

次のコードは安全ですか? それが正しいか？それをもっとうまくやる方法はありますか（おそらく他のライブラリを使って）？証明書の検証を要求していないため、OpenSSLが実際に認証に証明書の公開鍵を使用していないことに疑問があります。

der-encoded rsa キーによって認証された暗号化されたストリームを使用する必要があるだけです。Python 用のフリー ソフトウェア ソリューションは大歓迎です。私は M2Crypto をもっとよく知っていて、同じプロジェクトで既にいくつかのコードを使用しているので、M2Crypto がもっと欲しいです。

これが私のコードです（クライアントピアだけで、サーバーは似ているはずです）：

回答とアドバイスをありがとうございました。

私たちは、WCF サービスで標準化された .Net ショップです。アプリのデータを取得するために安全な Web サービス呼び出しを行う必要がある iPhone アプリケーションを開発中です。安全な通信を確保するために、Web サーバーで SSL を有効にしました。ただし、これは、許可されたアプリのみがサービスを利用できることを保証するものではありません。x509 証明書認証をサポートするようにサービスを構成しました。IPhone アプリから証明書認証を使用して安全な WCF サービスを呼び出すことさえ可能ですか?

インターネットで例を探すのに何時間も費やしましたが、役に立ちませんでした。セキュリティで保護されていない WCF サービスを問題なく呼び出すことができました。また、WS-Security および WS-Trust 通信標準についても多くの調査を行いました。これがどのように機能するかを理解していると思います。これを機能させるために必要な iPhone フレームワーク内のステップ/オブジェクトをつなぎ合わせるのに問題があります。

この件に関する考えやアイデアは大歓迎です。

また、次のいずれかについての考え:

1. iPhone アプリケーションで P12 証明書ファイルを展開する最適な方法
2. アプリ内で P12 ファイルのパスワードを保護する最善の方法
3. アプリを使用して P12 ファイルをデプロイすることはベスト プラクティスですか
4. この種の安全な通信をサポートするための iPhone フレームワーク内の機能はありますか? そうでない場合、代替の推奨事項は何ですか。

ボタン登録と登録解除のみを含むクライアントの登録ページを作成したいと思います。ユーザーがこれら 2 つのボタンのいずれかをクリックすると、コンピューターからクライアント証明書を選択するように求められます。また、選択した証明書から電子メール アドレスを抽出したいと思います。

IIS 7 を宣言的に構成して、Web サイトの 1 つの .aspx ページだけにクライアント証明書を要求する方法はありますか。次に、Request.ClientCertificate から証明書を抽出できますよね?

X509 証明書に署名しようとしています。私のルート秘密鍵は ECDSA secp384r1 です。バウンシーキャッスルを使用しています。証明書の署名を生成するときに、使用される署名クラスが ECDSA キーを理解できないようです。

生成するコードは次のとおりです。

これからの出力は次のとおりです。

bouncycastle のソース コードを読んで、この問題を追跡し、次のコード スニペットで再現しました。

出力を生成します：

問題は、私がこの時点で完全に迷っていることです。証明書ジェネレーターに署名付き証明書を提供させる方法がわかりません。私が間違っていることを誰かが知っていますか？

Windows Server 2003 に ASP.NET Web サービスがあります。独自の認証局があります。Web サービスでの認証に独自のクライアント証明書を使用しています。クライアント証明書を作成します。私はWebサービスを呼び出します。すべて問題ありません。次に、認証局でこの証明書を取り消します。証明書は失効した証明書にあります。この証明書を使用して Web サービスを呼び出しますが、Web サービスはこの証明書が有効であることを確認しますが、この証明書は取り消されています。どうしてか分かりません？誰か助けてください。

証明書の検証でこの方法を使用します。

X509Certificate2.Verify メソッド

例外は発生しません。証明書は取り消されていますが、Web サービスはこの証明書が有効であることを確認しています。

クラウスビスコフへ: ありがとう。だから私はこれを試します：

しかし、取り消された証明書はまだ有効であることが確認されています

openssl を使用して p12 証明書を生成すると、次のようになります。

openssl に秘密鍵をエクスポートしないように依頼したにもかかわらず、Windows で証明書をインストールするときに秘密鍵のパスワードが必要になるのはなぜですか。

私は何かが欠けていると思います。

bouncycastle wiki ページを通じて、X.509 ルート証明書と認証要求を作成する方法を理解できましたが、その後の概念とプログラミングの進め方がよくわかりません。

当事者 A が証明書要求を行い、CA からクライアント証明書を取得するとします。一部の当事者 B は、A の証明書をどのように検証できますか? Aさんにはどのような証明書が必要ですか。ルート証明書？「通常の」クライアント証明書?

また、A が自分の証明書を DER または PEM 形式で B に正常に送信したと仮定した場合、プログラミング レベルでの検証はどのように機能するのでしょうか?

どんな助けでも大歓迎です。

よろしく、 ロブ

OpenSSLには、X.509証明書ベースの認証用のSSL_set_connect_state（）/ SSL_set_accept_state（）に代わるものはありますか？

問題は、私のアプリケーションでは、クライアントとサーバーがソケットを使用して通信せず、それらの間の直接接続を確立できないことです。したがって、OpenSSLに必要なのは、中間SSLコンテキスト確立メッセージを「公開」して、それを相手側に伝達することです。

ご協力いただきありがとうございます！