Гость
Целевая тема:
Создать новую тему:
Автор:
Форумы / WinForms, .Net Framework [игнор отключен] [закрыт для гостей] / Где получать x509 сертификат в России ? НЕ ГОСТ. / 25 сообщений из 35, страница 1 из 2
17.11.2014, 12:58
    #38808155
WorkerAwa
Гость
Скрыть профиль Поместить в игнор-лист Сообщения автора в теме
Где получать x509 сертификат в России ? НЕ ГОСТ.
Привет.

Планирую сделать WCF службу и захостить ее в IIS. На клиентской стороне имеется моя програмка, соотвественно в ней появится WCF клиент, обращающийся к сервису по SSL. Пока изучаю вопрос, но, как понимаю, придется иметь дело с сертификатами.

Насколько я знаю (уже сталкивался) ГОСТ сертификаты требуют установки КрипроПро. Но мне совершенно не хочется привязывать пользователей на него, он же платный.
Можно ли в России использовать сертификаты не ГОСТ, чтобы они обрабатывались в Windows без сторонних компонентов ? Нету запрещающих законов ?

Подскажите пожалуйста, где получать сертификаты ? Я понимаю, что есть некие удостоверяющие центры. Но никогда с этим не сталкивался вообще ! Не знаю куда рыть, и как поступать правильно.
Как их заказывать ? Нужно ли каждому пользователю предоставить свой сертификат (устанавливая мою прогу, сертификат ставится в нагрузку в trusted People - как я понял так будет правильней всего).

Кто нибудь знает обучающую статью описывающую данный вопрос ? Читаю книги по WCF, но нужно что-то, с пошаговым руководством.

Спасибо !
...
Рейтинг: 0 / 0
17.11.2014, 13:07
    #38808169
hVostt
Участник
Скрыть профиль Поместить в игнор-лист Сообщения автора в теме
Где получать x509 сертификат в России ? НЕ ГОСТ.
WorkerAwaМожно ли в России использовать сертификаты не ГОСТ, чтобы они обрабатывались в Windows без сторонних компонентов ? Нету запрещающих законов ?

Можно. Но зачем?
...
Рейтинг: 0 / 0
17.11.2014, 13:22
    #38808213
WorkerAwa
Гость
Скрыть профиль Поместить в игнор-лист Сообщения автора в теме
Где получать x509 сертификат в России ? НЕ ГОСТ.
hVosttWorkerAwaМожно ли в России использовать сертификаты не ГОСТ, чтобы они обрабатывались в Windows без сторонних компонентов ? Нету запрещающих законов ?

Можно. Но зачем?

Потому что ГОСТ сертификат = КриптоПРО (я не ошибся ?).
А он не бесплатный. Что ж мне заставлять всех пользователей купить КриптоПРО "в нагрузку" ? кхм...
Хочется чтобы все работало "из коробки WCF" :)
...
Рейтинг: 0 / 0
17.11.2014, 13:34
    #38808239
hVostt
Участник
Скрыть профиль Поместить в игнор-лист Сообщения автора в теме
Где получать x509 сертификат в России ? НЕ ГОСТ.
WorkerAwaПотому что ГОСТ сертификат = КриптоПРО (я не ошибся ?).
А он не бесплатный. Что ж мне заставлять всех пользователей купить КриптоПРО "в нагрузку" ? кхм...
Хочется чтобы все работало "из коробки WCF" :)

Да. Или реализовать всё то, что реализовали ребята из КриптоПРО, только самостоятельно. Или ты думаешь кто-то бы покупал КриптоПРО или ВипНет, если бы без них можно было обойтись? Алгоритмы ГОСТ никто в венду встраивать не будет.
...
Рейтинг: 0 / 0
17.11.2014, 13:45
    #38808268
WorkerAwa
Гость
Скрыть профиль Поместить в игнор-лист Сообщения автора в теме
Где получать x509 сертификат в России ? НЕ ГОСТ.
hVostt,

Погодите. Я спросил о другом вообще.
Я как раз хочу уйти от ГОСТ сертификата (и криптоПро). Вы сказали это возможно.
Ну и отлично же. Ну не хочу я цепляться к КриптоПРО и заставлять всех клиентов его покупать - не купят они его, и меня пошлют подальше с моей програмкой.
Это будет законно ?

Собственно, возвращаясь к моему первому посту, я сам только только разбираюсь и никогда не имел дела с этой областью. Подскажите, кто нибудь кто делал, где можно получать не ГОСТ сертификаты в Росии - как вообще процесс происходит ?

Еще важный вопрос, сколько нужно сертификатов ?
Выходит, что нужен уникальный сертификат для каждого клиента. Чтобы сервер просто мог отправить данные клиенту, зашифровав их его открытым ключом.
...
Рейтинг: 0 / 0
17.11.2014, 14:06
    #38808322
ЕвгенийВ
Участник
Скрыть профиль Поместить в игнор-лист Сообщения автора в теме
Где получать x509 сертификат в России ? НЕ ГОСТ.
WorkerAwaЕще важный вопрос, сколько нужно сертификатов ?

Сколько нужно сертификатов (клиентам), что бы зайти сюда ?
...
Рейтинг: 0 / 0
17.11.2014, 14:14
    #38808333
Arm79
Участник
Скрыть профиль Поместить в игнор-лист Сообщения автора в теме
Где получать x509 сертификат в России ? НЕ ГОСТ.
WorkerAwaМожно ли в России использовать сертификаты не ГОСТ
Можно

Либо самоподписанные (бесплатно, но у клиентов будет сообщение о том, что нельзя проверить), либо подписанные одним из центров сертификации, указанный в доверенных (платно, как я понимаю)
...
Рейтинг: 0 / 0
17.11.2014, 14:16
    #38808335
netivan
Участник
Скрыть профиль Поместить в игнор-лист Сообщения автора в теме
Где получать x509 сертификат в России ? НЕ ГОСТ.
Arm79WorkerAwaМожно ли в России использовать сертификаты не ГОСТ
Можно

Либо самоподписанные (бесплатно, но у клиентов будет сообщение о том, что нельзя проверить), либо подписанные одним из центров сертификации, указанный в доверенных (платно, как я понимаю)
можно свой СА поднять и устанавливать клиентам)
...
Рейтинг: 0 / 0
17.11.2014, 14:17
    #38808340
Arm79
Участник
Скрыть профиль Поместить в игнор-лист Сообщения автора в теме
Где получать x509 сертификат в России ? НЕ ГОСТ.
netivanArm79пропущено...

Можно

Либо самоподписанные (бесплатно, но у клиентов будет сообщение о том, что нельзя проверить), либо подписанные одним из центров сертификации, указанный в доверенных (платно, как я понимаю)
можно свой СА поднять и устанавливать клиентам)
Значит, клиентам нужно в доверенные поставить этот СА :-)
...
Рейтинг: 0 / 0
17.11.2014, 14:33
    #38808377
hVostt
Участник
Скрыть профиль Поместить в игнор-лист Сообщения автора в теме
Где получать x509 сертификат в России ? НЕ ГОСТ.
WorkerAwaСобственно, возвращаясь к моему первому посту, я сам только только разбираюсь и никогда не имел дела с этой областью. Подскажите, кто нибудь кто делал, где можно получать не ГОСТ сертификаты в Росии - как вообще процесс происходит ?

а... я частицу «не» упустил. НЕ-ГОСТ, конечно можно. надо будет свой центр сертификации поднимать.

понимаешь в чём смысл сертификатов вообще? в доверии. НЕ-ГОСТ сертификаты в России не имеют доверия. они бесполезны. но если это не важно, то существуют центры выдачи сертификатов, тоже за деньги. и это не важно? ну что это тогда за сертификаты? для чего они? что они удостоверяют? как можно им доверять? кто будет контролировать корневые сертификаты, отзывать их, проверять? какие подписи можно на этих сертификатах ставить? грош им цена.
...
Рейтинг: 0 / 0
17.11.2014, 14:35
    #38808379
hVostt
Участник
Скрыть профиль Поместить в игнор-лист Сообщения автора в теме
Где получать x509 сертификат в России ? НЕ ГОСТ.
WorkerAwaЧтобы сервер просто мог отправить данные клиенту, зашифровав их его открытым ключом.

если нужно чисто шифрование, то можно использовать SSL, сертификат нужен только серверу.
...
Рейтинг: 0 / 0
17.11.2014, 14:39
    #38808385
Arm79
Участник
Скрыть профиль Поместить в игнор-лист Сообщения автора в теме
Где получать x509 сертификат в России ? НЕ ГОСТ.
hVosttWorkerAwaСобственно, возвращаясь к моему первому посту, я сам только только разбираюсь и никогда не имел дела с этой областью. Подскажите, кто нибудь кто делал, где можно получать не ГОСТ сертификаты в Росии - как вообще процесс происходит ?

а... я частицу «не» упустил. НЕ-ГОСТ, конечно можно. надо будет свой центр сертификации поднимать.

понимаешь в чём смысл сертификатов вообще? в доверии. НЕ-ГОСТ сертификаты в России не имеют доверия. они бесполезны. но если это не важно, то существуют центры выдачи сертификатов, тоже за деньги. и это не важно? ну что это тогда за сертификаты? для чего они? что они удостоверяют? как можно им доверять? кто будет контролировать корневые сертификаты, отзывать их, проверять? какие подписи можно на этих сертификатах ставить? грош им цена.

Я думаю, вопрос стоит в защите канала. Поэтому самоподписанные сертификаты должны подойти. Хотя, с другой стороны, я бы вообще не стал заморачиваться с сертификатами в WCF для такой задачи. Генерируем через openssl пару ключей и прописываем их в конфиг stunnel и делаем туннель между серверами.
...
Рейтинг: 0 / 0
17.11.2014, 14:40
    #38808386
Arm79
Участник
Скрыть профиль Поместить в игнор-лист Сообщения автора в теме
Где получать x509 сертификат в России ? НЕ ГОСТ.
Ну или iis +ssl и все
...
Рейтинг: 0 / 0
17.11.2014, 15:12
    #38808448
Алексей К
Участник
Скрыть профиль Поместить в игнор-лист Сообщения автора в теме
Где получать x509 сертификат в России ? НЕ ГОСТ.
WorkerAwaКто нибудь знает обучающую статью описывающую данный вопрос ? Читаю книги по WCF, но нужно что-то, с пошаговым руководством. Описание
Сервер
Клиент

В клиенте вместо EndpointIdentity.CreateDnsIdentity вызвать EndpointIdentity.CreateX509CertificateIdentity , указав сертификат, соответствующий закрытому ключу, расположенному на сервере. Тогда будет гарантия: шифрование траффика + невозможность подменить сервер.

Сертификат, используемый в примерах, сгенерирован следующим образом:
Код: c#
1.
2.
3.
4.
@rem Password: 88888888

makecert -sv SimpleSolutionProjectPublic.pvk -r -pe -n "CN=SimpleSolutionProject-Public" -e 01/01/3000 -sky exchange SimpleSolutionProjectPublic.cer
pvk2pfx -spc SimpleSolutionProjectPublic.cer -pvk SimpleSolutionProjectPublic.pvk -pfx SimpleSolutionProjectPublic.pfx -po 88888888
...
Рейтинг: 0 / 0
17.11.2014, 16:08
    #38808532
WorkerAwa
Гость
Скрыть профиль Поместить в игнор-лист Сообщения автора в теме
Где получать x509 сертификат в России ? НЕ ГОСТ.
ЕвгенийВWorkerAwaЕще важный вопрос, сколько нужно сертификатов ?

Сколько нужно сертификатов (клиентам), что бы зайти сюда ?

Вот. Это Вы в точку. Как сделать также на WCF ? :)
Чтобы пользователям ничего не нужно было устанавливать и мне ничего за это не было и работала служба по технологии WCF, установленная в IIS с защитой, видимо, через SSL.

Мне кажется Гуголь просто пользуется сертификат, который является доверенным на любой машине в мире. Вряд ли мне так же получится сделать.

Подскажите плиз... Совсем новичок я в этой теме сейчас - точнее могу создать WCF службу, но без какой-либо защиты. Куда рыть, желательно с пошаговой инструкцией - и бо ученые статьи, они обычно без практики, и толку от них мало, когда сам мало знаешь.
...
Рейтинг: 0 / 0
17.11.2014, 16:23
    #38808540
Алексей К
Участник
Скрыть профиль Поместить в игнор-лист Сообщения автора в теме
Где получать x509 сертификат в России ? НЕ ГОСТ.
WorkerAwaКуда рыть, желательно с пошаговой инструкцией...Мои ссылки не понравились?
...
Рейтинг: 0 / 0
17.11.2014, 16:36
    #38808548
WorkerAwa
Гость
Скрыть профиль Поместить в игнор-лист Сообщения автора в теме
Где получать x509 сертификат в России ? НЕ ГОСТ.
Arm79Ну или iis +ssl и все

Алгоритм работы такой (в скобках мои предположения):
1. Клиент стучится к серверу (Используя открытый ключ Серверного сертификата. Должна быть защита, видимо это SSL).
Передает там свои данные - скорее всего Логин, Пароль (или что нужно использовать ? Вроде бы Логина - Пароля достаточно. Я буду в своей БД хранить Логин и MD5 Хэш пароля).

2. Сервер принимает авторизацию пользователя. И должен выслать ему данные. Прайсы, расчитанные конкретно под него (по его Логину). Думаю, что нужно бдует высылать в виде base64. Возможно придется под-разобратся, как настроить стриминг в WCF, кажется я уже находил про это статью.

3. (нужен ли клиенту свой сертификат ?. Как сервер зашифрует данные для клиента ? Насколько я понимаю систему, должно происходить шифрование данных открытым ключом клиента, чтобы только он смог расшифровать.)
(С другой стороны. Если соединение установленное по SSL позволяет передавать в обоих направлениях данные, и требует лишь ОДИН сертификат - это отлично.)

Пожалуйста. Помогите разобраться с этими вопросами, в частности с третьим.
...
Рейтинг: 0 / 0
17.11.2014, 16:42
    #38808551
WorkerAwa
Гость
Скрыть профиль Поместить в игнор-лист Сообщения автора в теме
Где получать x509 сертификат в России ? НЕ ГОСТ.
Алексей К http://www.ss-pro.ru

О.... Кажется, возможно это то, что нужно. Спасибо ВАМ большое ! Сейчас буду смотреть код.

Хотя еще, все же остается вопросик с сертификатом. Вы используете самоподписанный. Я, пока гуглил информацию, видел, что на самоподписанные сертификаты система ругается. Хочу вот еще разобраться как получить рабочие. выше пишут, что нужно будет поднимать свой УЦ... Хм, как то слишком выходит.
...
Рейтинг: 0 / 0
17.11.2014, 16:43
    #38808553
WorkerAwa
Гость
Скрыть профиль Поместить в игнор-лист Сообщения автора в теме
Где получать x509 сертификат в России ? НЕ ГОСТ.
Алексей КWorkerAwaКуда рыть, желательно с пошаговой инструкцией...Мои ссылки не понравились?

Я их просто не увидел в то время... Отвлекли на 2 часа другой задачей, вот только что смог продолжить исследование. Спасибо за ссылки )
...
Рейтинг: 0 / 0
17.11.2014, 16:46
    #38808557
WorkerAwa
Гость
Скрыть профиль Поместить в игнор-лист Сообщения автора в теме
Где получать x509 сертификат в России ? НЕ ГОСТ.
Во, что нагуглил !
http://www.cacert.org/

CAcert.org is a community-driven Certificate Authority that issues certificates to the public at large for free .

Что думаете ? рабочий вариант ? :)
...
Рейтинг: 0 / 0
17.11.2014, 16:47
    #38808561
Arm79
Участник
Скрыть профиль Поместить в игнор-лист Сообщения автора в теме
Где получать x509 сертификат в России ? НЕ ГОСТ.
WorkerAwaПередает там свои данные - скорее всего Логин, Пароль (или что нужно использовать ? Вроде бы Логина - Пароля достаточно. Я буду в своей БД хранить Логин и MD5 Хэш пароля).
Чем стандартный провайдер не устроил? читать здесь


WorkerAwaПрайсы, расчитанные конкретно под него (по его Логину). Думаю, что нужно бдует высылать в виде base64
Зачем? Чем массив байтов не устроил?
WorkerAwaВозможно придется под-разобратся, как настроить стриминг в WCF
Это если прайсы очень большие. Посмотрите на MTOM.
WorkerAwa3. (нужен ли клиенту свой сертификат ?. Как сервер зашифрует данные для клиента ? Насколько я понимаю систему, должно происходить шифрование данных открытым ключом клиента, чтобы только он смог расшифровать.)
(С другой стороны. Если соединение установленное по SSL позволяет передавать в обоих направлениях данные, и требует лишь ОДИН сертификат - это отлично.)
SSL работает примерно так:
1) клиент взял сертификат с сервера и проверил его
2) клиент сгенерировал пароль на симметричном алгоритме шифрования, зашифровал его сертификатом сервера и отправил на сервер.
3) Теперь у клиента и сервера есть одинаковый пароль, и канал можно шифровать не таким накладным (по сравнению с асимметричным) блочным шифром.

Так что да, одного сертификата сервера вполне достаточно
...
Рейтинг: 0 / 0
17.11.2014, 16:47
    #38808562
Алексей К
Участник
Скрыть профиль Поместить в игнор-лист Сообщения автора в теме
Где получать x509 сертификат в России ? НЕ ГОСТ.
WorkerAwaХотя еще, все же остается вопросик с сертификатом. Вы используете самоподписанный.Да.
WorkerAwaЯ, пока гуглил информацию, видел, что на самоподписанные сертификаты система ругается.Ругается web-браузер и прочие приложения, написанные "не вами". В своём WCF-приложении проверку сертификата на клиенте можно отключить:
Код: c#
1.
factory.Credentials.ServiceCertificate.Authentication.CertificateValidationMode = X509CertificateValidationMode.None;


WorkerAwaХочу вот еще разобраться как получить рабочие. выше пишут, что нужно будет поднимать свой УЦ... Хм, как то слишком выходит.Можно сначала заставить работать самоподписной сертификат. Потом, если потребуется, перейти на "взрослый" сертификат.
...
Рейтинг: 0 / 0
17.11.2014, 17:29
    #38808611
WorkerAwa
Гость
Скрыть профиль Поместить в игнор-лист Сообщения автора в теме
Где получать x509 сертификат в России ? НЕ ГОСТ.
Arm79,

Спасибо за ссылку. Буду изучать.

Сейчас, после беглого просмотра, не совсем ясно, что использовать:

ASP.NET roles ->
SqlRoleProvider.
If your role information is stored in a SQL Server database, consider using SqlRoleProvider for roles authorization.

или
Role-based Authorization Options in WCF -> Custom roles.
If your role information is stored in a custom store such as a SQL Server database, create a custom authorization policy to authorize your users.

Мне нужно идентифицировать пользователя. Видимо это будет некий логин и пароль (хэш).
Что правильней использовать ?

Сейчас еще гляну по ссылке Алексей К , есть ли у него там что-то для этого.
...
Рейтинг: 0 / 0
17.11.2014, 17:39
    #38808621
WorkerAwa
Гость
Скрыть профиль Поместить в игнор-лист Сообщения автора в теме
Где получать x509 сертификат в России ? НЕ ГОСТ.
Еще раз задам вопрос. Чтобы понять, и подвести некий итог для себя.

Если я сделаю SSL на ГОСТ сертификате - заставит ли это пользователей ставить КриптоПРО ?
Ок у нас и так есть КриптоПРО, мне просто не хочется заставлять пользователей на него завязывать.

Но, как написал уважаемый Arm79

"1) клиент взял сертификат с сервера и проверил его
2) клиент сгенерировал пароль на симметричном алгоритме шифрования, зашифровал его сертификатом сервера и отправил на сервер."

Возникает вопрос. Чтобы проделать все эти действия, клиенту нужен будет КриптоПро? А мне ОЧЕНЬ хочется этого избежать.

Алексей К написал, что можно сделать самоподписанный Серверный сертификат, а в своей клиентской программе просто отключить проверку сертификата.

Я думаю, может действительно так просто и сделать ? Насколько это вообще безопасно с точки зрения защиты - отключать проверку сертификата ?

С другой стороны . Может все таки проще купить НЕ-ГОСТ сертификат у платного УЦ ? Понадобится же лишь 1 серверный сертификат, не думаю, что цена будет не-подъемной.

Как лучше сделать ?
...
Рейтинг: 0 / 0
17.11.2014, 17:52
    #38808640
hVostt
Участник
Скрыть профиль Поместить в игнор-лист Сообщения автора в теме
Где получать x509 сертификат в России ? НЕ ГОСТ.
WorkerAwaЕсли я сделаю SSL на ГОСТ сертификате - заставит ли это пользователей ставить КриптоПРО ?
Ок у нас и так есть КриптоПРО, мне просто не хочется заставлять пользователей на него завязывать.

КриптоПро нужен, если требуется подписывать эл. подписью документы, обмениваться инфой с налоговой службой, банками или бюджетными учреждениями, с ГОСТ-шифрованием и подписями. Это требуется?
...
Рейтинг: 0 / 0
Форумы / WinForms, .Net Framework [игнор отключен] [закрыт для гостей] / Где получать x509 сертификат в России ? НЕ ГОСТ. / 25 сообщений из 35, страница 1 из 2
Найденые пользователи ...
Разблокировать пользователей ...
Читали форум (0):
Пользователи онлайн (0):
x
x
Закрыть


Просмотр
0 / 0
Close
Debug Console [Select Text]