Здравствуйте.

https://docs.cryptopro.r...0%ba%d1%82-cpcertificate

Спасибо за быстрый ответ. А каким образом отпечаток позволит мне идентифицировать пользователя? Точнее, я понимаю что отпечаток будет идентичным, но насколько это безопасно? Я хотел реализовать механизм, описанный здесь: https://habr.com/ru/post/120990/

Ну я скорее спрашивал с точки зрения уникальности отпечатка. Но если отпечаток уникальный и является хешем структуры ОК, то зачем на сервере хранить отпечаток + сертикат (вы ранее писали)?

Добрый день.
Что-то тут не так в рассуждениях: ни хэша структуры ОК, ни отпечатка в сертификате нет. Отпечаток это хэш от сертификата (большей части по крайней мере), туда входит структура ОК и много чего еще. Сам по себе отпечаток автоматом вычисляется, но в сертификате не хранится. Новый сертификат имеет другие даты и потому хэш тоже изменяется даже при том же ключе. Если ключ меняется - тоже отпечаток меняется.

Уникальность никак не проверяется, просто полагается на то что отпечаток длинный и совпадающих хешей на одном компьютере не попадется. Поэтому в теории хорошо бы сверять что-то еще - например, серийный номер и издателя (их сочетание регламентировано как уникальное). Ну а на практике если у меня на компьютере старые сертификаты удаляются и актуальных максимум 15, то конечно 160-битный хэш уникален для меня. Для большой же ИС - смотрите сами, сколько у Вас будет сертификатов в БД.

Идентификатор ключа - обычно хэш от структуры ОК. Стандарт его предлагает как вариант, но не ограничивает другие способы вычисления идентификатора ключа, как нам уже показывали в одной из тем - идентификатор ключа легкими движениями рук можно задать практически произвольный. Это делается при создании запроса на сертификат и УЦ не может считать это нарушением стандарта, так что все проходит в сертификат без изменений.

Отредактировано пользователем 10 февраля 2022 г. 11:29:20(UTC)  | Причина: Не указана

хеш от всего сертификата (если сохранить в der и прохешировать отдельно файл).