In che modo OpenSSL crea certificati X.509 da SPKACs?

Question

In che modo OpenSSL crea certificati X.509 da SPKACs?

#1 da (1 voti)

2

La descrizione di SPKAC ASN.1:

PublicKeyAndChallenge ::= SEQUENCE {
    spki SubjectPublicKeyInfo,
    challenge IA5STRING
}

SignedPublicKeyAndChallenge ::= SEQUENCE {
    publicKeyAndChallenge PublicKeyAndChallenge,
    signatureAlgorithm AlgorithmIdentifier,
    signature BIT STRING
}

Una normale CSR ha una sezione per il nome distinto dei soggetti (DN). Gli SPKAC no. In che modo, come vengono creati i certificati X.509 da SPKAC? Le persone sono presentate con messaggi che richiedono loro tutti gli attributi DN o qualcosa del genere?

public-key-infrastructure tls certificates x.509

posta neubert 16.12.2012 - 22:09

fonte

1 risposta

Leggi altre domande sui tag public-key-infrastructure tls certificates x.509

Mitigazioni di sicurezza rapida per gli attacchi di sospensione Reverse shell attack e proxy intercettazioni ... c'è qualcosa che non va?

score 1 · Answer 1

Una richiesta di certificato è "solo" un token che richiede che una CA emetta un certificato con il contenuto impostato come la CA ritenga opportuno . La CA deve riempire il certificato con informazioni che parzialmente ottiene dal richiedente, ma anche da altre fonti. In ogni caso, anche se una richiesta PKCS # 10 consente di specificare un DN completo, la CA non è vincolata a emettere il certificato con esattamente quel DN. Per esempio, nessuna CA sana mi rilascia un certificato, con il DN "CN = Barack Obama, O = Governo degli Stati Uniti, C = USA". Può emettere un certificato con DN "CN = Thomas Pornin", ma solo perché la CA "conosce" il mio nome con un meccanismo fuori banda (ad esempio la richiesta è arrivata attraverso un tunnel SSL, in una sessione in cui era precedentemente autenticato).

Tuttavia, se la CA può verificare il DN da una richiesta di certificato, allora conosce già il nome, e quindi non ha realmente bisogno del nome dalla richiesta stesso: la CA può inserire il nome corretto nel certificato da solo.

Il formato di richiesta del certificato SPKAC è solo un vecchio formato barebone che presuppone che la CA sappia già tutto, tranne la chiave pubblica. La "sfida" e la "firma" sono funzionalità extra di sicurezza per prevenire alcuni attacchi (ad esempio la firma mi impedisce di richiedere un certificato che contiene la chiave pubblica di qualcun altro).