15.Сертификаты X.509. Структура сертификата. Процедура проверки подлинности.

Процедура проверки подлинности открытого ключа

Если абонент A желает проверить подпись абонента B под полученным сообщением (или зашифровать для B сообщение с помощью его открытого ключа и т.д.), он выполняет следующие действия:

1. запрашивает в сетевом справочнике сертификат C_B открытого ключа подписи (шифрования,...) абонента B ;

2. проверяет достоверность сертификата C_B ;

3. в случае успеха проверяет подпись под сообщением (зашифровывает сообщение,...) с помощью открытого ключа, извлеченного из C_B.

Процедура проверки достоверности сертификата

1. проверяется срок действия сертификата C_B, если он закончился, сертификат считается недостоверным;

2. из C_B извлекается имя ЦС, подписавшего этот сертификат, обозначим его D;

3. если D=B, то сертификат самоподписанный, он считается достоверным только, если D=ROOT (ROOT-корневой доверенный центр сертификации) (хотя, возможно, в некоторых сетях право выдавать самоподписанные сертификаты имеет не один ROOT, это - политика сети);

4. если же D≠B, то из справочника запрашивается сертификат C_D открытого ключа подписи абонента D, проверяется на достоверность сертификат C_D ;

5. в случае отрицательного ответа принимается решение о недостоверности сертификата C_B, иначе из C_D извлекается открытый ключ K_D ;

6. с помощью K_D проверяется подпись под сертификатом C_B, по результатам проверки этой подписи судят о достоверности C_B.

Создание самоподписанного сертификата и операции с ним с использованием утилит Windows

Создание сертификата и секретного ключа

makecert -r -n "CN=Bsuir Corporation, OU=FITC" -b 01/01/2013 -e 01/01/2015 -sv C:\cert\sspTestCert.pvk -sky exchange C:\cert\sspTestCert.cer

Создание тестового сертификата издателя программного обеспечения:

cert2spc C:\cert\sspTestCert.cer C:\cert\sspTestCert.spc

Создание контейнера, содержащего сертификат и закрытый ключ

pvk2pfx -pvk C:\cert\sspTestCert.pvk -spc C:\cert\sspTestCert.spc -pfx C:\cert\sspTestCert.pfx

Подписание сборки при помощи утилиты signtool:

signtool sign -f C:\cert\sspTestCert.pfx -v testAssembly.exe