Microsoft PKI или поставщик PKI?

Question

У меня есть вопрос, связанный с инфраструктурой PKI, если организация идет с Microsoft PKI или независимой отдельной инфраструктурой PKI? Существуют ли какие-либо лицензионные ограничения, если я использую Microsoft PKI Infrastructure? Или я должен получить независимую инфраструктуру PKI от поставщика, предлагающего инфраструктуру PAI TSA и SP (Signature Proof).

Answer 1

Любая инфраструктура PKI, которую вы выбираете, обязана иметь боковые стороны, и это недостатки. Я могу сказать вам по опыту, что продукты Microsoft PKI в целом хорошо сочетаются с другими продуктами Microsoft, но имеют проблемы с совместимостью с другими продуктами, отличными от Microsoft. Со временем я понимаю, что их старейшие продукты PKI получили более высокие стандарты, но у них все еще есть свои причуды.

время штамповки власти полезны, если у вас есть сомнения по поводу переигровки подписанных сообщений:

http://en.wikipedia.org/wiki/File:Trusted_timestamping.gif

Но это означает, что каждый конечный объект нужно будет использовать что TSA при создании подписи.

Если вы используете свои цифровые сертификаты для SSL, вам это не понадобится, уникальное для каждого транзакции подтверждение закрытого ключа является частью протокола. Если вы выполняете проверку подлинности в Интернете, многие механизмы аутентификации будут использовать либо SSL-клиент, либо сделать что-то, чтобы заставить закрытый ключ подписать уникальное значение, чтобы гарантировать, что в средней атаке нет человека.

Я не совсем уверен, что вы подразумеваете под «Подтверждением подписи». Если вы имеете в виду включение случайного и уникального значения в каждый хэш, чтобы избежать повторных атак, тогда применяется тот же совет, что и TSA. Но я угадываю здесь.

Все дело в том, для чего вы его используете? насколько хорошо это нужно выполнить? как пользователи и другие системы должны взаимодействовать с ним?

Учитывая, что PKI стоит дорого, неважно, как вы его нарезаете, вы захотите немного подумать об этом. Между стоимостью лицензий, стоимостью установки (человеко-часов) и стоимостью обслуживания, это основное обязательство, требующее разработки и проектирования требований к системному уровню.

Answer 2

Вопрос действительно сводится к сфере использования. Если PKI будет использоваться только внутри вашей организации, то продукт службы сертификации Microsoft предоставляет достойную платформу PKI. Однако, если вы можете использовать внешние сертификаты - клиенты, поставщики и т. Д. - тогда вы, вероятно, захотите провести расследование с использованием доверенного стороннего поставщика PKI, такого как VeriSign, Cybertrust (Verizon Business) и т. Д.

Мы запускаем Microsoft CS внутренне, и он работает хорошо, особенно потому, что одним из наших основных случаев использования является автоматическая регистрация сертификатов через Active Directory. Это позволяет IIS, VPN-клиентам и т. Д. Автоматически получать сертификаты, выданные им по мере необходимости.

Это не самый полнофункциональный продукт PKI, с которым я работал. Если вы ищете действительно расширенный набор функций, вы должны посмотреть на продукт службы сертификации Red Hat. Он также открыт как проект Dogtag PKI.