Re: Re: И про недействительные X.509 сертификаты вопрос

От: Vladimir A. Butenko <CGatePro_at_mx_ru>
Дата: Mon 08 Aug 2005 - 11:26:44 MSD

On Mon, 8 Aug 2005 14:01:49 +0700
  "Victor Sudakov" <CGatePro@mx.ru> wrote:
> Vladimir A. Butenko wrote:

>> >
>> >Есть у нас собственный CA, в пользовательских машинах его сертификат
>> >установлен в хранилище "Доверенные корневые центры". Доменные
>> >сертификаты для CGP также подписаны этим сертификатом.
>> 
>> Надо, чтобы у этих доменных сертификатов явно стоял атрибут "может 
>> подписывать другие сертификаты".

>
> Правильно ли я понимаю, что разница лежит здесь:
>
> X509v3 extensions:
> X509v3 Basic Constraints:
> CA:FALSE
>
> versus
>
> X509v3 Basic Constraints:
> CA:TRUE
>

Да, похоже. То есть - может он быть Certificate Authority или нет.

>> >Когда пользователь генерит свой S/MIME сертификат через Веб-интерфейс,
>> >тот оказывается подписанным доменным сертификатом. Последний тоже
>> >устанавливаем на пользовательские машины.  В результате получаем такую
>> >цепочку:
>> 
>> Если они (сертификаты) явно устанавливаются, то можно этот битик (того, 
>>что 
>> они могут выдавать другие сертификаты) прописать в Windows явно, при 
>> установке.

>
> Не нашел. Не затруднит пальцем показать?

IE->Internet Options->Content->Certificates. Там под "Advanced" много всяких странных опций. Но самое главное - чтобы CGatePro сертификат попал в "Intermediate Certificate Authorities" хранилище в Windows (по умолчанию он куда-то не туда попадает).

> --
> Victor Sudakov, VAS4-RIPE, VAS47-RIPN
>
> ##################################################################
> Вы получили это сообщение потому, что подписаны на список рассылки
> <CGatePro@mx.ru>.
>
> Чтобы отписаться, отправьте сообщение на адрес <CGatePro-off@mx.ru>
> Чтобы переключиться в режим дайджеста - mailto:<CGatePro-digest@mx.ru>
> Чтобы переключиться в индексный режим - mailto:<CGatePro-index@mx.ru>
> Для административных запросов адрес <CGatePro-request@mx.ru>
>
>
>

Sincerely,
Vladimir Получено Mon Aug 08 07:25:27 2005