forskel mellem certifikater ved std flex og stx micro$

[Jens Bo Friis <sslug@sslug>]

Hej,

Supporten i min OpenSign applet er nu udvidet til også at omfatte 
standard microsoft bestillingen.

Der er en forskel i de certifikater som genereres hos TDC på de to 
forskellige metoder.

STD. FLEX får man eet certifikat til
* Digital signatur
* non-repudiation
* Nøglekryptering
* Nøgleforhandling
* Datakryptering

STD. Microsoft får man to certifikater:
1) * Digital signatur
   * non-repudiation

2) * Nøglekryptering
   * Nøgleforhandling
   * Datakryptering

TDC kvalificerede certifikater:
* Nøglekryptering
* Digital signatur
* non-repudiation

Dvs. TDC kvalificerede certifikater kan IKKE bruges til kryptering eller 
nøgleforhaandling

Nåh, tilbage til STD. FLEX og STD. Microsoft internals:
I det følgende har jeg exporteret certifikaterne ud af IE for at kunne 
"bruge dem til digital signatur". Jeg har derfor analyseret indholdet af 
disse keystores. Indholdet kan varierer fra browser til browser.

STD FLEX indeholder een eller flere certifikat entries. Eet og kun eet 
af disse cert entries er et KEY entry og dette entry indeholder den 
private nøgle. Denne nøgle er beskyttet med password ligesom keystore er 
beskyttet med password. Dette KEY/CERT entry ER brugerens certifikat og 
det kan derfor nemt identificeres, blot ved at lede efter entries i 
keystore som er keyentries. Alt sammen no problemo.

STD. Microsoft keystore til digital signatur indeholder mindst to 
entries. En cert entry og et key entry. Her er entries del i to 
seperate, een med certifikatet og den offentlige nøgle og een med den 
private nøgle. Her er den private nøgle IKKE beskyttet med password men 
keystore heldigvis stadig beskyttet med password.

STD. Microsoft keystore kan også indeholde flere end to entries, dvs. 
der er stadig kun eet keyentry (iflg. PKCS12 std) men der kan være FLERE 
cert entries, da man kan vælge at exportere certifikat kæden (chain) med 
ned i keystore.

Og nu kommer udfordringen! Hvilet cert entry hører til keyentry? Hvordan 
kan man sikkert og let identificere keyentry (den private nøgle) 
sammenhæng til det korrekte cert entry (og den offentlige nøgle). Dette 
problem opstår kun når keyentry og cert entry er delt som i STD. 
microsoft. Dette er ikke tilfældet for STD. FLEX.

Jeg har "quick'n'dirty" valg at det cert entry med den længeste cert 
kæde til at være brugerens certifikat (dvs. formentlig det certifikat 
som ligger neders i kæden).


/Bo
http://bofriis.dk