Методы проверки подлинности

Сертификаты могут быть использованы в качестве доказательства подлинности не только компьютера владельца продвинутого сайта, но и сервера. Для этих целей применяют метод ЕАР, в сочетании с типом проверки TLS с сертификатами или смарт-картами. Такой процесс носит название взаимной проверки подлинности. Чтобы была возможность для выполнения проверки такого рода, необходимо соответствие сертификата ряду предъявляемых к нему требований.

Необходимо, например, в расширениях настроить такое использование ключа сертификата, чтобы возможность его применения для разных предназначений оказалась доступной. Назначение, обычно указываемое для сертификата, который применяется для удостоверения на сервере подлинности клиентского компьютера, обозначено так: «Проверка подлинности клиента». Когда сервер подтверждает свою подлинность перед клиентским компьютером, то для него используется значение «Проверка подлинности сервера». Значение «Проверка подлинности клиента» имеет соответствующий идентификатор объекта в цифрах. Когда сертификат применяется для определения подлинности компьютера клиента, указанный идентификационный номер обязан присутствовать в расширениях использования ключа сертификата. Если этого не случиться, нужный отзыв не прозвучит и проверка закончится с отрицательным результатом.

Чтобы настроить сертификаты, которые выдают службы сертификации Active Directory, следует применить оснастку «Шаблоны сертификатов», расположенную на консоли управления. Подлежат настройке не только способы выдачи сертификатов. Можно настроить и их содержимое, и назначение тоже. В этой оснастке можно воспользоваться таким шаблоном, как «Компьютер», для определения шаблона, на основе которого служба (центр) сертификации назначит компьютерам клиента сертификаты. В «Шаблоны сертификатов» можно не только создать шаблон сертификата, но и в расширениях использования ключа сертификата указать его назначения. В шаблоне «Компьютер» по умолчанию в расширениях использования ключа сертификата обычно обозначены «Проверка подлинности пользователя», «Проверка подлинности клиента».

Впрочем, какое назначение будет содержать создаваемый шаблон сертификата, с таким и будет в дальнейшем использоваться этот сертификат. Если, например, при проверке подлинности компьютера владельца изготовленного сайта применяются смарт-карты, то «Проверка подлинности клиента» логичным будет дополнить назначением «Вход по смарт-карте». Можно так настроить сервер политики сети, что будет производиться проверка назначений сертификатов до выполнения авторизации. Сервер сетевой политики может проверить дополнительные назначения, включенные в расширение использования ключа, а также политики выдачи.