Проверка подлинности сертификата клиента: как работают смарт-карты?

Question

Я пытаюсь понять, как аутентификация сертификата клиента работает со смарт-картами.

Я читал о настройке apache для аутентификации пользователей сертификатом, есть много обучающих онлайн, например this one.

Насколько я понимаю, после того, как сертификат был импортирован, любой, кто может получить доступ к компьютеру, может запустить браузер и использовать его, таким образом, в сценарии нескольких пользователей, имеющих одну и ту же учетную запись (или злоумышленника, имеющего физический доступ к компьютеру и возможность входа в систему), пользователь не может быть аутентифицирован однозначно. Чтобы избежать такой проблемы, когда общая учетная запись включена, я могу попытаться не хранить сертификат в браузере.

В настоящее время существует несколько жетонов USB, которые могут иметь сертификаты внутри, которые могут использоваться для проверки подлинности сертификата клиента на веб-сайтах. Вот мой вопрос о таких устройствах:

• , импортировав сертификат в качестве физического устройства, разрешит ли браузер использовать сертификат при импорте?
• Что произойдет, если сертификат имеет контакт? Происходит ли браузер запрашивать контакт при каждом запуске?
• Могу ли я быть уверенным, что сертификат не может быть извлечен из устройства чтения токенов/смарт-карт? Поэтому, если маркер не украден, могу ли я быть уверенным, что сертификат нельзя клонировать?

Answer 1

путем импорта сертификата в качестве физического устройства, будет браузер позвольте мне использовать сертификат, как я импортировать его?

Да. Однако вы можете распознать более высокую задержку при использовании аппаратного токена по сравнению с программным токеном (например, для смарт-карты 2-3 секунды).

Что произойдет, если сертификат имеет контакт? Происходит ли браузер запрашивать контакт при каждом запуске?

по умолчанию, например. Firefox только пытается получить доступ к клиентским сертификатам, если вы подключаетесь к веб-странице с включенным клиентом HTTPS. Затем будет запрошен PIN-код. Обычно PIN-код больше не нужен, пока токен не удаляется, но это поведение может отличаться в зависимости от используемого модуля PKCS # 11 (программного обеспечения, которое соединяет Firefox с токеном).

Могу ли я быть уверенным, что сертификат не может быть извлечен с помощью флэш-накопителя ? Поэтому, если маркер не украден, можете ли я убедиться, что сертификат не может быть клонирован?

Тогда это зависит от знака. У некоторых может быть API для извлечения закрытого ключа, но обычно вы можете использовать или удалять только закрытый ключ + сертификат из токена.