2008 R2 - [решено] Смена алгоритма подписи на CA.

2008 R2 - [решено] Смена алгоритма подписи на CA.

Старожил

Сообщения: 498
Благодарности: 44

Профиль | Сайт | Отправить PM | Цитировать

Изменения

Автор: nokogerra
Дата: 01-05-2014

Доброго времени суток.
Есть схема offline RootCA + online SubCA, используются для выдачи сертификатов для компонентов vSphere. Возникла проблема на этапе замены самоподписанных сертификатов подписанными от CA и после контакта с тех поддержкой и курения логов было получено вот что:
"Какой алгоритм цифровой подписи для сертификатов вы используете? Проверьте, что он у вас не RSA-PSS. Если так, попробуйте использовать sha256rsa."

вот что имеется в сертификате, выданном для одного из сервисов vSphere:

signature algorithm RSASSA-PSS
signature hash algorithm sha256

т.е. нужно сменить RSASSA-PSS на другой алгоритм, но как это сделать? в настройках шаблона этого нет, нашел только http://social.technet.microsoft.com/...serversecurity такое, но там речь идет о sah и md5, не о RSA, и то там рекомендация не использовать данный способ. Я также видел http://technet.microsoft.com/en-us/l.../hh831373.aspx, но не ясно что за "пониженная безопасность" и какой алгоритм будет использоваться после команды:
certutil -setreg CA\InterfaceFlags -IF_ENFORCEENCRYPTICERTREQUEST
Кто-то что-то подскажет?

Отправлено: 06:07, 01-05-2014

nokogerra

Старожил

Сообщения: 498
Благодарности: 44

Профиль | Сайт | Отправить PM | Цитировать

Как оказалось изменить можно значение AlternateSignatureAlgorithm в HKLM\System\CurrentControlSet\services\CertSrv\SubCA(RootCA)\CPS на 0. За 100% достоверность пути не ручаюсь, сейчас посмотреть уже не могу. Это значение соответствует SHAxxxRSA, но пришлось перестраивать всю цепочку, компоненты vSphere не поддерживают RSASSA-PSS. При чем даже указав в capolicy значение AlternateSignatureAlgorithm=0 и развернув заново роли RootCA/SubCA подписываются все сертификаты RSASSA-PSS, пришлось вручную изменять значение параметра после установки роли. Тему можно закрыть.

Отправлено: 15:38, 05-05-2014 | #2