У каждого моего клиента имеется сертификат.
Как Вам известно, их можно отзывать (revoke), при этом он на сервере помечается (как-то).

После просмотра сертификата, был замечен такой вот хитрый параметр:

[2]Доступ к сведениям центра сертификации
Метод доступа=Поставщик центра сертификации (1.3.6.1.5.5.7.48.2)
Дополнительное имя:
URL=http://develop.lo/CertEnroll/develop.lo_Dev%20Root%20Authority.crt

[1]Точка распределения списка отзыва (CRL)
Имя точки распространения:
Полное имя:
URL=http://develop.lo/CertEnroll/develop.lo_Dev%20Root%20Authority.crl


Вопрос: Как этим всем воспользоватся в ASP.NET'e?

N.B. К примеру, IE7 RC1 гувкать начинает, если недоступен центр поставщика сертификата

Revoking certificates and publishing CRLs

Schedule the publication of the certificate revocation list

CertCheckMode Metabase Property (IIS 6.0)

RevocationFreshnessTime Metabase Property (IIS 6.0)

После прочтения сразу же всё становится на свои места.
Для того, что бы ASP.NET (в лице IIS'a) ругался на отозваные сертификаты:

certutil -SetReg Policy\RevocationType +AspEnable

Более подробнее в ссылках.

Здравствуйте, Smorn, Вы писали:

S>Для проверки сертификата на revoked используйте System.Security.Cryptography.X509Certificates.X509Chain class.
S>Установите нужные вам св-ва/флаги и выполните X509Chain.Build() для этого сертификата.

Спасибо.

Здравствуйте, снежок, Вы писали:

С>Здравствуйте, Darkman_CV, Вы писали:
С>off top:
С>у тебя web-приложение?
С>Подскажи как происходит аутентификация на основе сертификата в браузере?
С>Клиент устанавливает сертификат в личное хранилище сертификатов, или он считывается с носителя при аутентификации?
С>Если с носителя, то интересно, как это реализовано(например, считать с дискеты или флешки), может есть какие то ссылки?

хм... неа, не занимались мы таким.

Достаточно было и сертификатов. Дело в том, что я переписывал GINA и пускал её через SSL.
Достать оттуда сертификат — та ещё проблема, т.ч более ли менее получилось.
Нам сертификаты нужны были для лицензирования и аутентификации, т.к. куки и айпи адреса не подходили, по известным причинам.