Чтобы войти на сервер по сертификату - сервер должен доверять этому сертификату и мочь проверить сертификат на отзыв. Какая при этом строится цепочка на вашей машине - не важно. Тема не об этом, поэтому на правах топикстартера прошу переместить обсуждение невозможности войти на портал финмониторинга в другую тему.

В данной теме обсуждается другой вопрос - поведение IE при наличии нескольких цепочек и возможность это поведение изменить.
Пока конкретного ответа на свои вопросы я не получил.

Действительно. Построение цепочки на вашем локальном компьютере не влияет на доверие к вашему сертификату на сервере.
То, что IE не предъявляет сертификат - не значит, что сервер ему не доверяет. Если IE предъявляет сертификат - это не значит, что сервер ему доверяет.

Видимо, вы действительно не особо утруждали себя чтением первой страницы. Я 3 месяца описываю причины такого поведения IE и спрашиваю сотрудников КриптоПро почему IE себя так ведет.

Провел эксперимент на RSA пожоще, чем в первый раз.
Имеем:
Корень MainRoot. На нем выпущен серверный сертификат.
Три корня ClientRoot1, ClientRoot2, ClientRoot3. На каждом выпущено по одному клиентскому.
Также для всех трех выпущены кроссы на MainRoot.
Клиент и сервер - одна машина.
MainRoot стоит в хранилище компьютера в ROOT.

Корни ClientRoot1, ClientRoot2, ClientRoot3 стоят в хранилище пользователя в ROOT.
Кроссы стоят в хранилище пользователя, в CA.

Заходим через IE - видим список из трех сертификатов на выбор.
То есть, была вероятность как минимум для одного из трех сертификатов (то есть, довольно высокая в целом вероятность) построить не ту цепочку и не отобразить сертификат, но IE все сделал правильно.
Меня пока все больше беспокоит мысль, что КриптоПро делает что то неправильно.

Ниже скриншоты. На одном - содержимое хранилищ, на втором - окно выбора сертификатов.
Если кто-то хочет повторить эксперимент, я также приложил все сертификаты с ключами. На все ключи пароль - 123.


Кстати, справедливости ради, хочу заметить, что в Windows 2012 в параметрах schannel по умолчанию отключена отправка списка доверенных сертификатов клиенту (ранее была по умолчанию включена). С одной стороны, не каждый полезет ее включать и проблема будет не столь актуальна. Но с другой - не скоро все перейдут на Win 2012.

Отредактировано пользователем 17 октября 2013 г. 22:20:05(UTC)  | Причина: Не указана

Экспериментирую на своей рабочей машине, поэтому возможности нет. Да и времени особо тоже нет.
Да и, Випнет меня не особо интересует.

КП не участвует в построении цепочек. Отправку корневых можно отключить в нашей контрольной панели уже несколько лет. Неожиданно, правда?)