Меня тут невзначай шеф озадачил таким вопросом - а почему бы нам не построить УЦ по такому принципу: выдавать клиенту технологический ключ с помощью которого он (клиент) будет генерировать себе на своем АРМе рабочий ключ и высылать нам зашифрованный и подписанный этим технологическим ключом запрос на сертификат.
Сел погуглить... вариантов кроме как использование технологических ключей в корпоративных ИС (типа банковских) не нашел (отсюда и идея, собственно). Поэтому возникло несколько вопросов:
1) Насколько такая схема работы "совместима" с российским законодательством?
2) Есть ли реальные плюсы (а заодно и минусы) использования такой схемы? Имеет ли она право "на жизнь" в деятельности коммерческого УЦ?
3) Позволяет ли ПАК КриптоПро УЦ 1.5 использовать такой режим?

ключ будет общий для всех клиентов? каким образом он будет участвовать в создании рабочего ключа?

если ключи будут разные, то есть такое понятие как "временный сертификат", который не влияет на количество использованных лицензий, отсюда плюс по п.2.

ЖТЯИ.00067 01 90 01 КриптоПро УЦ Общее описание поищите по фразе "Временный доступ к Центру Регистрации" она на протяжении почти всего документа встречается.
В том же документе п. 5.1.1. Лицензия Центра Сертификации сказано:
"При необходимости зарегистрировать нового пользователя и изготовить для него сертификат открытого ключа для проведения тестов (зарегистрировать тестового пользователя), в данный сертификат в расширение «Улучшенный ключ» (Extended Key Usage) потребуется занести область использования «Временный доступ к Центру Регистрации» (OID 1.2.643.2.2.34.2) в дополнение к необходимым для выполнения тестовых задач областям. Счетчик зарегистрированных пользователей в данном случае не увеличится."

PS: Ими, например, пользователь может подписывать запрос на сертификат, если пришлет еще и зашифрованным им, то придется пересылать еще и закрытый ключ, что крайне плохо.
ЦР вкладка "Web-интерфейс" параметр CertReqAutoAccept - Автоматическое принятие запросов на сертификат, поступающих от веб-приложения, реализующего АРМ зарегистрированного пользователя с маркерным доступом. Возможные значения: 0 – отключено, 1 – включено. Значение по умолчанию: 0, что бы сертификаты от пользователей с маркером временного доступа принимались автоматически (если понадобится).
Также придется сделать доп. настройки что бы пользователи с маркером временного доступа могли запрашивать сертификат только с временным доступом, в политиках ЦР добавляете роль "Прошедший проверку" и разрешаете запрашивать для него сертификат только по шаблону "Временный доступ", и будете после этого получать, как минимум, запросы на сертификат подписанные сертификатами выданными Вашим УЦ.

Отредактировано пользователем 25 января 2012 г. 13:03:33(UTC)  | Причина: Не указана

так а какие все-таки?

я про то же