Добрый день!

Мне для инструментария необходимо переодически скачивать корневые сертификаты КриптоПро УЦ 2.0. Можно ли, не устанавливая КриптоПро CSP/JCP/JCSP, скачать актуальные корневые сертификаты КриптоПро УЦ 2.0 через какую-то публичную ссылку?

Например, чтобы это сделать сейчас я должен установить TLS соединение с предоставлением клиентского сертификата и скачать PKCS#7 хранилище через https://my-cryptopro-ca-2.0/ui/api/cacertificate

А можно ли настроить публичную точку распространения подобного списка корневых сертификатов, минуя TLS?

Заранее спасибо!

Спасибо большое за ответ! Да, у нас есть возможность получить сертификат издателя из сертификата по http. Но вопрос стоял шире: существует ли публичная точка распространения всех актуальных корневых сертификатов, как если бы я ее получал через https://my-cryptopro-ca-2.0/ui/api/cacertificate, но без установки TLS и необходимости устанавливать КриптоПро CSP/JCP/JCSP?

Я надеялся как раз, что в КриптоПро УЦ 2.0 уже есть такая точка распространения корневых сертификатов не требующая аутентификации. В противном случае мы умножаем энтропию путем создания где-то еще клона хранилища корневых сертификатов и должны ее не забыть обновить при выпуске нового. Должна быть одна точка истины, и по идее, для целей получения корневых сертификатов она должна быть публичная.

1. УЦ нельзя, согласно сертификации ПО, публиковать в сеть общего доступа (в сеть интернет). Если даже и убрать требование одностороннего TLS у данного метода - он для пользователей все равно недоступен.
2. Если по другому, то корневой сертификат должен быть получен из надежных источников - например пользователь приходит в УЦ и получает его на флешке, потом устанавливает его на свой ПК. Или в сети организации (которая не имеет выхода в интернет) загружать его с использованием одностороннего TLS.

На практике: администраторы УЦ публикуют сертификаты ЦС и CRL на выделенном сервере, например, на своем сайте. В каком виде будет публикация - решать им, т.е. делать p7b новый после каждой смены ключа ЦС - выглядит не самой сложной задачей (ключ ЦС меняется минимум, в обычном использовании, раз в 15 месяцев).

Отредактировано пользователем 27 мая 2025 г. 13:34:28(UTC)  | Причина: Не указана