TrustedIssuers в Windows Identity Foundation

Question

Я использую ThinkTecture Identity Server для экспериментов с федеративной безопасностью и основанной на заявках аутентификацией в Windows Identity Foundation. Я запускаю Identity Server в отдельном окне, используя самозаверяющий сертификат, созданный в IIS для SSL, и шифрование токенов в Identity Server.

Я запускаю локальное приложение MVC, настроенное на использование Identity в Visual Studio 2013, указав инструмент идентификации в файл FederationMetadata для Identity Server. Часть этой конфигурации включает раздел <trustedIssuers>, который включает отпечаток сертификата сертификата Identity Server.

Все это довольно прямолинейно, но я смущен тем, как отпечаток используется на клиенте, чтобы доверять Identity Server. Первоначально я думал, что каким-то образом значение отпечатка было использовано непосредственно при проверке выданного маркера, но, читая больше, я обнаружил, что отпечаток используется для поиска фактического сертификата на моей машине. Однако, насколько мне известно, мне никогда не приходилось экспортировать сертификат Identity Server и устанавливать его на моей клиентской машине, это просто сработало.

Как WIF использует отпечаток в этом сценарии, если я сам не устанавливаю сертификат самостоятельно?

Answer 1

По умолчанию - открытый ключ для проверки подписи встраивается в маркере ответа - это означает, что ПР делает

1. Проверка подпись с помощью встроенного сертификата
2. Создать отпечаток (хэш) над встроенный сертификат и убедитесь, что он соответствует настроенному отпечатку.

Таким образом, вам не нужно развернуть сертификат на RP.