Новые сообщения [новые:0]
Дайджест
Горячие темы
Избранное [новые:0]
Форумы
Пользователи
Статистика
Статистика нагрузки
Мод. лог
Поиск
|
17.11.2014, 12:58
|
|||
---|---|---|---|
|
|||
Где получать x509 сертификат в России ? НЕ ГОСТ. |
|||
#18+
Привет. Планирую сделать WCF службу и захостить ее в IIS. На клиентской стороне имеется моя програмка, соотвественно в ней появится WCF клиент, обращающийся к сервису по SSL. Пока изучаю вопрос, но, как понимаю, придется иметь дело с сертификатами. Насколько я знаю (уже сталкивался) ГОСТ сертификаты требуют установки КрипроПро. Но мне совершенно не хочется привязывать пользователей на него, он же платный. Можно ли в России использовать сертификаты не ГОСТ, чтобы они обрабатывались в Windows без сторонних компонентов ? Нету запрещающих законов ? Подскажите пожалуйста, где получать сертификаты ? Я понимаю, что есть некие удостоверяющие центры. Но никогда с этим не сталкивался вообще ! Не знаю куда рыть, и как поступать правильно. Как их заказывать ? Нужно ли каждому пользователю предоставить свой сертификат (устанавливая мою прогу, сертификат ставится в нагрузку в trusted People - как я понял так будет правильней всего). Кто нибудь знает обучающую статью описывающую данный вопрос ? Читаю книги по WCF, но нужно что-то, с пошаговым руководством. Спасибо ! ... |
|||
:
Нравится:
Не нравится:
|
|||
|
17.11.2014, 13:07
|
|||
---|---|---|---|
Где получать x509 сертификат в России ? НЕ ГОСТ. |
|||
#18+
WorkerAwaМожно ли в России использовать сертификаты не ГОСТ, чтобы они обрабатывались в Windows без сторонних компонентов ? Нету запрещающих законов ? Можно. Но зачем? ... |
|||
:
Нравится:
Не нравится:
|
|||
|
17.11.2014, 13:22
|
|||
---|---|---|---|
|
|||
Где получать x509 сертификат в России ? НЕ ГОСТ. |
|||
#18+
hVosttWorkerAwaМожно ли в России использовать сертификаты не ГОСТ, чтобы они обрабатывались в Windows без сторонних компонентов ? Нету запрещающих законов ? Можно. Но зачем? Потому что ГОСТ сертификат = КриптоПРО (я не ошибся ?). А он не бесплатный. Что ж мне заставлять всех пользователей купить КриптоПРО "в нагрузку" ? кхм... Хочется чтобы все работало "из коробки WCF" :) ... |
|||
:
Нравится:
Не нравится:
|
|||
|
17.11.2014, 13:34
|
|||
---|---|---|---|
Где получать x509 сертификат в России ? НЕ ГОСТ. |
|||
#18+
WorkerAwaПотому что ГОСТ сертификат = КриптоПРО (я не ошибся ?). А он не бесплатный. Что ж мне заставлять всех пользователей купить КриптоПРО "в нагрузку" ? кхм... Хочется чтобы все работало "из коробки WCF" :) Да. Или реализовать всё то, что реализовали ребята из КриптоПРО, только самостоятельно. Или ты думаешь кто-то бы покупал КриптоПРО или ВипНет, если бы без них можно было обойтись? Алгоритмы ГОСТ никто в венду встраивать не будет. ... |
|||
:
Нравится:
Не нравится:
|
|||
|
17.11.2014, 13:45
|
|||
---|---|---|---|
|
|||
Где получать x509 сертификат в России ? НЕ ГОСТ. |
|||
#18+
hVostt, Погодите. Я спросил о другом вообще. Я как раз хочу уйти от ГОСТ сертификата (и криптоПро). Вы сказали это возможно. Ну и отлично же. Ну не хочу я цепляться к КриптоПРО и заставлять всех клиентов его покупать - не купят они его, и меня пошлют подальше с моей програмкой. Это будет законно ? Собственно, возвращаясь к моему первому посту, я сам только только разбираюсь и никогда не имел дела с этой областью. Подскажите, кто нибудь кто делал, где можно получать не ГОСТ сертификаты в Росии - как вообще процесс происходит ? Еще важный вопрос, сколько нужно сертификатов ? Выходит, что нужен уникальный сертификат для каждого клиента. Чтобы сервер просто мог отправить данные клиенту, зашифровав их его открытым ключом. ... |
|||
:
Нравится:
Не нравится:
|
|||
|
17.11.2014, 14:06
|
|||
---|---|---|---|
Где получать x509 сертификат в России ? НЕ ГОСТ. |
|||
#18+
WorkerAwaЕще важный вопрос, сколько нужно сертификатов ? Сколько нужно сертификатов (клиентам), что бы зайти сюда ? ... |
|||
:
Нравится:
Не нравится:
|
|||
|
17.11.2014, 14:14
|
|||
---|---|---|---|
Где получать x509 сертификат в России ? НЕ ГОСТ. |
|||
#18+
WorkerAwaМожно ли в России использовать сертификаты не ГОСТ Можно Либо самоподписанные (бесплатно, но у клиентов будет сообщение о том, что нельзя проверить), либо подписанные одним из центров сертификации, указанный в доверенных (платно, как я понимаю) ... |
|||
:
Нравится:
Не нравится:
|
|||
|
17.11.2014, 14:16
|
|||
---|---|---|---|
Где получать x509 сертификат в России ? НЕ ГОСТ. |
|||
#18+
Arm79WorkerAwaМожно ли в России использовать сертификаты не ГОСТ Можно Либо самоподписанные (бесплатно, но у клиентов будет сообщение о том, что нельзя проверить), либо подписанные одним из центров сертификации, указанный в доверенных (платно, как я понимаю) можно свой СА поднять и устанавливать клиентам) ... |
|||
:
Нравится:
Не нравится:
|
|||
|
17.11.2014, 14:17
|
|||
---|---|---|---|
Где получать x509 сертификат в России ? НЕ ГОСТ. |
|||
#18+
netivanArm79пропущено... Можно Либо самоподписанные (бесплатно, но у клиентов будет сообщение о том, что нельзя проверить), либо подписанные одним из центров сертификации, указанный в доверенных (платно, как я понимаю) можно свой СА поднять и устанавливать клиентам) Значит, клиентам нужно в доверенные поставить этот СА :-) ... |
|||
:
Нравится:
Не нравится:
|
|||
|
17.11.2014, 14:33
|
|||
---|---|---|---|
Где получать x509 сертификат в России ? НЕ ГОСТ. |
|||
#18+
WorkerAwaСобственно, возвращаясь к моему первому посту, я сам только только разбираюсь и никогда не имел дела с этой областью. Подскажите, кто нибудь кто делал, где можно получать не ГОСТ сертификаты в Росии - как вообще процесс происходит ? а... я частицу «не» упустил. НЕ-ГОСТ, конечно можно. надо будет свой центр сертификации поднимать. понимаешь в чём смысл сертификатов вообще? в доверии. НЕ-ГОСТ сертификаты в России не имеют доверия. они бесполезны. но если это не важно, то существуют центры выдачи сертификатов, тоже за деньги. и это не важно? ну что это тогда за сертификаты? для чего они? что они удостоверяют? как можно им доверять? кто будет контролировать корневые сертификаты, отзывать их, проверять? какие подписи можно на этих сертификатах ставить? грош им цена. ... |
|||
:
Нравится:
Не нравится:
|
|||
|
17.11.2014, 14:35
|
|||
---|---|---|---|
Где получать x509 сертификат в России ? НЕ ГОСТ. |
|||
#18+
WorkerAwaЧтобы сервер просто мог отправить данные клиенту, зашифровав их его открытым ключом. если нужно чисто шифрование, то можно использовать SSL, сертификат нужен только серверу. ... |
|||
:
Нравится:
Не нравится:
|
|||
|
17.11.2014, 14:39
|
|||
---|---|---|---|
Где получать x509 сертификат в России ? НЕ ГОСТ. |
|||
#18+
hVosttWorkerAwaСобственно, возвращаясь к моему первому посту, я сам только только разбираюсь и никогда не имел дела с этой областью. Подскажите, кто нибудь кто делал, где можно получать не ГОСТ сертификаты в Росии - как вообще процесс происходит ? а... я частицу «не» упустил. НЕ-ГОСТ, конечно можно. надо будет свой центр сертификации поднимать. понимаешь в чём смысл сертификатов вообще? в доверии. НЕ-ГОСТ сертификаты в России не имеют доверия. они бесполезны. но если это не важно, то существуют центры выдачи сертификатов, тоже за деньги. и это не важно? ну что это тогда за сертификаты? для чего они? что они удостоверяют? как можно им доверять? кто будет контролировать корневые сертификаты, отзывать их, проверять? какие подписи можно на этих сертификатах ставить? грош им цена. Я думаю, вопрос стоит в защите канала. Поэтому самоподписанные сертификаты должны подойти. Хотя, с другой стороны, я бы вообще не стал заморачиваться с сертификатами в WCF для такой задачи. Генерируем через openssl пару ключей и прописываем их в конфиг stunnel и делаем туннель между серверами. ... |
|||
:
Нравится:
Не нравится:
|
|||
|
17.11.2014, 14:40
|
|||
---|---|---|---|
Где получать x509 сертификат в России ? НЕ ГОСТ. |
|||
#18+
Ну или iis +ssl и все ... |
|||
:
Нравится:
Не нравится:
|
|||
|
17.11.2014, 15:12
|
|||
---|---|---|---|
Где получать x509 сертификат в России ? НЕ ГОСТ. |
|||
#18+
WorkerAwaКто нибудь знает обучающую статью описывающую данный вопрос ? Читаю книги по WCF, но нужно что-то, с пошаговым руководством. Описание Сервер Клиент В клиенте вместо EndpointIdentity.CreateDnsIdentity вызвать EndpointIdentity.CreateX509CertificateIdentity , указав сертификат, соответствующий закрытому ключу, расположенному на сервере. Тогда будет гарантия: шифрование траффика + невозможность подменить сервер. Сертификат, используемый в примерах, сгенерирован следующим образом: Код: c# 1. 2. 3. 4.
... |
|||
:
Нравится:
Не нравится:
|
|||
|
17.11.2014, 16:08
|
|||
---|---|---|---|
|
|||
Где получать x509 сертификат в России ? НЕ ГОСТ. |
|||
#18+
ЕвгенийВWorkerAwaЕще важный вопрос, сколько нужно сертификатов ? Сколько нужно сертификатов (клиентам), что бы зайти сюда ? Вот. Это Вы в точку. Как сделать также на WCF ? :) Чтобы пользователям ничего не нужно было устанавливать и мне ничего за это не было и работала служба по технологии WCF, установленная в IIS с защитой, видимо, через SSL. Мне кажется Гуголь просто пользуется сертификат, который является доверенным на любой машине в мире. Вряд ли мне так же получится сделать. Подскажите плиз... Совсем новичок я в этой теме сейчас - точнее могу создать WCF службу, но без какой-либо защиты. Куда рыть, желательно с пошаговой инструкцией - и бо ученые статьи, они обычно без практики, и толку от них мало, когда сам мало знаешь. ... |
|||
:
Нравится:
Не нравится:
|
|||
|
17.11.2014, 16:23
|
|||
---|---|---|---|
Где получать x509 сертификат в России ? НЕ ГОСТ. |
|||
#18+
WorkerAwaКуда рыть, желательно с пошаговой инструкцией...Мои ссылки не понравились? ... |
|||
:
Нравится:
Не нравится:
|
|||
|
17.11.2014, 16:36
|
|||
---|---|---|---|
|
|||
Где получать x509 сертификат в России ? НЕ ГОСТ. |
|||
#18+
Arm79Ну или iis +ssl и все Алгоритм работы такой (в скобках мои предположения): 1. Клиент стучится к серверу (Используя открытый ключ Серверного сертификата. Должна быть защита, видимо это SSL). Передает там свои данные - скорее всего Логин, Пароль (или что нужно использовать ? Вроде бы Логина - Пароля достаточно. Я буду в своей БД хранить Логин и MD5 Хэш пароля). 2. Сервер принимает авторизацию пользователя. И должен выслать ему данные. Прайсы, расчитанные конкретно под него (по его Логину). Думаю, что нужно бдует высылать в виде base64. Возможно придется под-разобратся, как настроить стриминг в WCF, кажется я уже находил про это статью. 3. (нужен ли клиенту свой сертификат ?. Как сервер зашифрует данные для клиента ? Насколько я понимаю систему, должно происходить шифрование данных открытым ключом клиента, чтобы только он смог расшифровать.) (С другой стороны. Если соединение установленное по SSL позволяет передавать в обоих направлениях данные, и требует лишь ОДИН сертификат - это отлично.) Пожалуйста. Помогите разобраться с этими вопросами, в частности с третьим. ... |
|||
:
Нравится:
Не нравится:
|
|||
|
17.11.2014, 16:42
|
|||
---|---|---|---|
|
|||
Где получать x509 сертификат в России ? НЕ ГОСТ. |
|||
#18+
Алексей К http://www.ss-pro.ru О.... Кажется, возможно это то, что нужно. Спасибо ВАМ большое ! Сейчас буду смотреть код. Хотя еще, все же остается вопросик с сертификатом. Вы используете самоподписанный. Я, пока гуглил информацию, видел, что на самоподписанные сертификаты система ругается. Хочу вот еще разобраться как получить рабочие. выше пишут, что нужно будет поднимать свой УЦ... Хм, как то слишком выходит. ... |
|||
:
Нравится:
Не нравится:
|
|||
|
17.11.2014, 16:43
|
|||
---|---|---|---|
|
|||
Где получать x509 сертификат в России ? НЕ ГОСТ. |
|||
#18+
Алексей КWorkerAwaКуда рыть, желательно с пошаговой инструкцией...Мои ссылки не понравились? Я их просто не увидел в то время... Отвлекли на 2 часа другой задачей, вот только что смог продолжить исследование. Спасибо за ссылки ) ... |
|||
:
Нравится:
Не нравится:
|
|||
|
17.11.2014, 16:46
|
|||
---|---|---|---|
|
|||
Где получать x509 сертификат в России ? НЕ ГОСТ. |
|||
#18+
Во, что нагуглил ! http://www.cacert.org/ CAcert.org is a community-driven Certificate Authority that issues certificates to the public at large for free . Что думаете ? рабочий вариант ? :) ... |
|||
:
Нравится:
Не нравится:
|
|||
|
17.11.2014, 16:47
|
|||
---|---|---|---|
Где получать x509 сертификат в России ? НЕ ГОСТ. |
|||
#18+
WorkerAwaПередает там свои данные - скорее всего Логин, Пароль (или что нужно использовать ? Вроде бы Логина - Пароля достаточно. Я буду в своей БД хранить Логин и MD5 Хэш пароля). Чем стандартный провайдер не устроил? читать здесь WorkerAwaПрайсы, расчитанные конкретно под него (по его Логину). Думаю, что нужно бдует высылать в виде base64 Зачем? Чем массив байтов не устроил? WorkerAwaВозможно придется под-разобратся, как настроить стриминг в WCF Это если прайсы очень большие. Посмотрите на MTOM. WorkerAwa3. (нужен ли клиенту свой сертификат ?. Как сервер зашифрует данные для клиента ? Насколько я понимаю систему, должно происходить шифрование данных открытым ключом клиента, чтобы только он смог расшифровать.) (С другой стороны. Если соединение установленное по SSL позволяет передавать в обоих направлениях данные, и требует лишь ОДИН сертификат - это отлично.) SSL работает примерно так: 1) клиент взял сертификат с сервера и проверил его 2) клиент сгенерировал пароль на симметричном алгоритме шифрования, зашифровал его сертификатом сервера и отправил на сервер. 3) Теперь у клиента и сервера есть одинаковый пароль, и канал можно шифровать не таким накладным (по сравнению с асимметричным) блочным шифром. Так что да, одного сертификата сервера вполне достаточно ... |
|||
:
Нравится:
Не нравится:
|
|||
|
17.11.2014, 16:47
|
|||
---|---|---|---|
Где получать x509 сертификат в России ? НЕ ГОСТ. |
|||
#18+
WorkerAwaХотя еще, все же остается вопросик с сертификатом. Вы используете самоподписанный.Да. WorkerAwaЯ, пока гуглил информацию, видел, что на самоподписанные сертификаты система ругается.Ругается web-браузер и прочие приложения, написанные "не вами". В своём WCF-приложении проверку сертификата на клиенте можно отключить: Код: c# 1.
WorkerAwaХочу вот еще разобраться как получить рабочие. выше пишут, что нужно будет поднимать свой УЦ... Хм, как то слишком выходит.Можно сначала заставить работать самоподписной сертификат. Потом, если потребуется, перейти на "взрослый" сертификат. ... |
|||
:
Нравится:
Не нравится:
|
|||
|
17.11.2014, 17:29
|
|||
---|---|---|---|
|
|||
Где получать x509 сертификат в России ? НЕ ГОСТ. |
|||
#18+
Arm79, Спасибо за ссылку. Буду изучать. Сейчас, после беглого просмотра, не совсем ясно, что использовать: ASP.NET roles -> SqlRoleProvider. If your role information is stored in a SQL Server database, consider using SqlRoleProvider for roles authorization. или Role-based Authorization Options in WCF -> Custom roles. If your role information is stored in a custom store such as a SQL Server database, create a custom authorization policy to authorize your users. Мне нужно идентифицировать пользователя. Видимо это будет некий логин и пароль (хэш). Что правильней использовать ? Сейчас еще гляну по ссылке Алексей К , есть ли у него там что-то для этого. ... |
|||
:
Нравится:
Не нравится:
|
|||
|
17.11.2014, 17:39
|
|||
---|---|---|---|
|
|||
Где получать x509 сертификат в России ? НЕ ГОСТ. |
|||
#18+
Еще раз задам вопрос. Чтобы понять, и подвести некий итог для себя. Если я сделаю SSL на ГОСТ сертификате - заставит ли это пользователей ставить КриптоПРО ? Ок у нас и так есть КриптоПРО, мне просто не хочется заставлять пользователей на него завязывать. Но, как написал уважаемый Arm79 "1) клиент взял сертификат с сервера и проверил его 2) клиент сгенерировал пароль на симметричном алгоритме шифрования, зашифровал его сертификатом сервера и отправил на сервер." Возникает вопрос. Чтобы проделать все эти действия, клиенту нужен будет КриптоПро? А мне ОЧЕНЬ хочется этого избежать. Алексей К написал, что можно сделать самоподписанный Серверный сертификат, а в своей клиентской программе просто отключить проверку сертификата. Я думаю, может действительно так просто и сделать ? Насколько это вообще безопасно с точки зрения защиты - отключать проверку сертификата ? С другой стороны . Может все таки проще купить НЕ-ГОСТ сертификат у платного УЦ ? Понадобится же лишь 1 серверный сертификат, не думаю, что цена будет не-подъемной. Как лучше сделать ? ... |
|||
:
Нравится:
Не нравится:
|
|||
|
17.11.2014, 17:52
|
|||
---|---|---|---|
Где получать x509 сертификат в России ? НЕ ГОСТ. |
|||
#18+
WorkerAwaЕсли я сделаю SSL на ГОСТ сертификате - заставит ли это пользователей ставить КриптоПРО ? Ок у нас и так есть КриптоПРО, мне просто не хочется заставлять пользователей на него завязывать. КриптоПро нужен, если требуется подписывать эл. подписью документы, обмениваться инфой с налоговой службой, банками или бюджетными учреждениями, с ГОСТ-шифрованием и подписями. Это требуется? ... |
|||
:
Нравится:
Не нравится:
|
|||
|
|
start [/forum/topic.php?fid=20&mobile=1&tid=1402243]: |
0ms |
get settings: |
11ms |
get forum list: |
16ms |
check forum access: |
4ms |
check topic access: |
4ms |
track hit: |
40ms |
get topic data: |
10ms |
get forum data: |
2ms |
get page messages: |
58ms |
get tp. blocked users: |
2ms |
others: | 12ms |
total: | 159ms |
0 / 0 |