Во всей этой прелести я пока не понимаю одного: почему сертификат со смарт-карты, подписанный Enterprise CA с шаблоном smartcard logon и заверенный сертификатом пользователя с шаблоном enrollment agent, принимается доменными компьютерами. Почему доменный компьютер верит сертификату, заверенному CA? Кто ему это говорит? (Верить CA) Ведь фича
(
Read more... )
Comments 3
возможно сертификат со смарт карты заверен и сертификатом пользователя И сертификатом CA.
ps: странно, что сертификатом пользователя можно заверять другие сертификаты ... имхо - юзер это конечная "точка" в дереве сертификации.
Reply
А на самом деле схема выглядит так:
Есть CA (вовсе не обязательно энтерпрайз). Его RC (корневой сертификат) ставится доверенным для пользователя, который выписывает сертификаты.
Дальше, пользователь, используя какую-то вне-PKI авторизацию (например, Kerberos или банальный basic auth) выписывает себе сертификат с правом передачи запросов от третьих лиц в CA. Для этого есть шаблон сертификатов Enrollment agent. Фактически, этим сертификатом подписывается _ЗАПРОС_ на сертификат. Эта подпись должна для CA доказывать, что запрос предназначается именно тому лицу, которому будет вручена карточка в зубы. Фактически, Enrollment agent с точки зрения PKI - это обычный УЦ (удостоверяющий центр), гарантирующий достоверность информации в запросе.
Дальше этот запрос обрабатывается CA, выписывается сертификат, сертификат записывается на смарт-карту.
Усё.
Reply
Reply
Leave a comment