- The keygen docs at Mozilla, and the keygen docs at w3 don't specify a return format after the POST. What should I return?
Il motivo per cui queste informazioni non sono elencate è perché l'elemento KeyGen invia un SPKAC al server e una volta CSR ( Richiesta di firma del certificato) viene generato e inviato a una CA (autorità di certificazione) e un x.509 certificato client firmato deve essere restituito al client che ha creato la chiave privata.
Un tipico evento procedurale per la gestione di SPKAC dall'elemento KeyGen sarebbe il seguente:
- L'utente specifica una "sfida" unica che viene codificata all'interno dell'SPKAC generato da KeyGen (chiave pubblica firmata e sfida ASN.1 valore).
- L'elemento KeyGen genera una chiave privata che viene quindi archiviata nell'archivio certificati del browser.
- Una chiave pubblica viene quindi derivata dalla chiave privata.
- La chiave pubblica derivata & la sfida inviata dall'utente viene quindi codificata come una stringa formattata ASN.1 SPKAC (vedere il 'formato di richiesta certificato' sotto).
- Viene quindi creata una CSR (vedere di seguito) e inviata a un'autorità di certificazione rispettabile.
- La CA genera un certificato x.509 che può essere utilizzato per l'autenticazione pass-wordless (purché il server Web sia configurato per farlo)
L'impostazione di base dell'intestazione "Content-Type" su "application / x-x509-user-cert" costringerà il browser a caricarlo nel suo archivio di certificati.
- After keygen is run, (see links at the bottom of this page) I don't see a certificate in my local store. Where is it?
KeyGen non genera un certificato. Genera una chiave privata. La chiave pubblica è derivata dalla chiave privata (che non è accessibile dall'archivio certificati del browser, né dall'API del motore JS) quindi codificata come SPKAC.
L'SPKAC deve essere utilizzato all'interno di una CSR (Certificate Signing Request) e un esempio del quale sarebbe simile all'esempio seguente, la CSR più tradizionale può essere mostrata qui e vedi qui per i riferimenti :
SPKAC=MIIBXjCByDCBnzANBgkqhkiG9w0BAQEFAAOBjQAwgYkCgYEA3L0IfUijj7+A8CPC8
EmhcdNoe5fUAog7OrBdhn7EkxFButUp40P7+LiYiygYG1TmoI/a5EgsLU3s9twEz3
hmgY9mYIqb/rb+SF8qlD/K6KVyUORC7Wlz1Df4L8O3DuRGzx6/+3jIW6cPBpfgH1s
VuYS1vDBsP/gMMIxwTsKJ4P0CAwEAARYkYzBkZjFlYjctMTU0NC00MWVkLWFmN2Et
ZDRkYjBkNDc5ZjZmMA0GCSqGSIb3DQEBBAUAA4GBALEiapUjaIPs5uEdvCP0gFK2q
ofo+4GpeK1A43mu28lirYPAvCWsmYvKIZIT9TxvzmQIxAfxobf70aSNlSm6MJJKmv
urAK+Bpn6ZUKQZ6A1m927LvctVSYJuUi+WVmr0fGE/OfdQ+BqSm/eQ3jnm3fBPVx1
uwLPgjC5g4EvGMh8M
CN=Joe Snuffy
OU=Snake Oil, LLC
O=Department of pricing
L=City name
ST=State or province
C=United States
[email protected]
- My understanding is that Keygen is used to create a Browser Certificate. What logical steps do I need to complete in order to finish this process?
L'intero processo per l'utilizzo di un elemento keygen per un'autentica autenticazione del certificato client all'interno di applicazioni Web è il seguente:
-
All'interno di un pannello di amministrazione di un'applicazione Web (utilizzando un account esistente) l'utente ha la possibilità di creare un certificato client (x.509) da utilizzare per l'autenticazione. Carica l'elemento KeyGen SPKAC insieme a un modulo che fornisce i seguenti attributi (tutto nella parentesi corrisponde all'esempio CSR precedente):
- organizationalUnitName (OU)
- organizationName (O)
- localityName (L)
- stateOrProvinceName (ST)
- countryName (C)
- indirizzo email (E)
- commonName (CN)
-
Una volta che il modulo viene fornito al server viene generato un CSR. Deve quindi essere fornito a una CA (autorità di certificazione) per la firma.
- Una volta firmato, il client riceve una notifica per accedere nuovamente all'applicazione web, in quel momento può essere utilizzata l'intestazione x.509 "content-type" per forzare il certificato nell'archivio certificati del browser.
- Finché il server Web è configurato per farlo, può forzare il client a inviare certificati x.509 per l'autenticazione del certificato client. La documentazione del server web Apache fornisce queste informazioni .
Alcune note aggiuntive riguardo l'SPKAC; la stringa di verifica fornita deve essere univoca per ogni certificato del client dell'utente. Un esempio di impostazione di questo in base all'input dell'utente sarebbe il seguente snippit:
<script>
/* Gather up our form & its elements */
var form = document.getElementById("myForm")
, challenge = document.getElementById("challenge")
, spkac = document.getElementById("spkac");
/* Add an event handler to move the value from the 'challenge' input
to the keygen element challenge attribute */
form.addEventListener("blur", setSpki, true);
/* Our function which sets the challenge */
function setSpki(){
spkac.setAttribute('challenge', challenge.value());
}
</script>
Questo è essenziale perché una volta che il certificato client firmato è nell'archivio del browser, chiunque usi quel browser può potenzialmente accedere al proprio account.
La sfida fornita durante l'iniziale SPKAC dovrebbe essere utilizzata come una forma secondaria di prova di proprietà per la chiave privata corrispondente alla chiave privata utilizzata per l'SPKAC.
Ad esempio; l'utente si disconnette, chiude il browser e distrugge la sessione autenticata. Un utente malintenzionato si siede sullo stesso terminale e tenta di usare x.509 per fornire l'autenticazione e viene quindi richiesto per la sfida.