Кросспост с форума Technet:

========
У нас следующая проблема:

На сервере существует несколько вебсайтов (веб приложения) доступных только по https с обязательным предъявлением клиентского сертификата.Сайты принадлежат разным компаниям, имеют разные серверные сертификаты, выданные разными УЦ.
Корневые сертификаты этих УЦ установлены в хранилище корневых ЦС компьютера и пользователь, имеющий сертификат одного из УЦ может зайти в приложение другой компании.

В IIS 6 эта проблема решалась созданием отдельного CTL'а, для каждого сайта. Если пользователь попытается зайти туда, куда ему не положено, то ему выдается ошибка 403.16.
В IIS 7 возможность настройки CTL убрали.

Мы несколько дней рылись в инете, но так и не нашли реально работающей замены.

Здесь сказано, что за ssl теперь полностью отвечает http.sys и преведены ссылки на нужные объекты.
Тут сказано, как можно использовать режим совместимости с IIS 6 для настройки CTL.
Это все не помогло..

Также есть возможность настройки http.sys через утилиту netsh (через контекст http). После создания сайта с https привязкой по https, эта привязка удалялась командой


И затем создавалась новая:


clientcertnegotiation ставил разный, sslctlidentifier - указанный в makectl.exe идентификатор. Также пробовал копировать ctl с win2003, сгенерированный IIS 6, и указывал его идентификатор (GUID) - бестолку.

Есть ли шансы добиться нужного мне поведения?

==========

Сегодня выстроили аналогичную схему, но на RSAшных сертификатах. Работает как часы: если пользователь зашел с сертификатом, которого нет в CTL - возвращается ошибка 403.16, как и должно быть. Настройки производили через netsh.

Версия Крипто Про - 3.6.4808 х64 КС1.
Как это обойти? Если никак, и проблема в КриптоПро - стоит ли ждать исправления и когда примерно?

Нашел, похоже, что нужно дополнительно реализовать - в скором времени будет поддерживаться CTL и в ГОСТ TLS.
В принципе, кроме проверки клиентских сертификатов по CTL можно сделать и фильтрацию списка CA, посылаемых клиенту для выбора сертификата. Не уверен, что это сделано у MS. Интересно?

Отредактировано пользователем 16 апреля 2008 г. 0:05:48(UTC)  | Причина: Не указана

Нет, с CTL раньше не работал, но оснастка сертификатов в 2008 вполне позволяет их редактировать.
Не подскажете, что означает appid={4dc3e181-e14b-4a21-b022-59fc669b0914}, в смысле где взять "правильный" гуид или можно использовать любой?

По поводу идентификатора - при открытии CTL он виден, правда в бинарном виде :)
List identifier: 62 00 6f 00 78 00 00 00 //L"box"
И программно соответственно доступен тоже.