在客户端的 ASPX 中签署数据
在我的应用程序中，客户端必须签名（使用证书）并将数据发送到服务器。 我的疑问是我该怎么做？
要在客户端签名，我应该使用 ActiveX，对吗？我的问题是 Firefox 不支持它。 在服务器端签名我有两个选择：
- 将私钥保存在服务器上并在必要时使用它（如果在交易期间修改了数据，它将签署虚假数据）
- 在必要时发送私钥（可能包含密钥）
尽管使用 SSL，我对服务器端签名的两个选项中的任何一个都不太满意...... 使用 ActiveX 可能会导致我的应用程序更容易受到攻击，对吧？
希望你能帮助我:)
In my application, the client must sign (using a certificate) and send data to the server.
My doubt is how should I do it?
To sign on the client side, I should use ActiveX right? My problem is that firefox doesn't support it.
Signing on the server side I have two options:
- Save the private key on the server and use it when necessary (if the data is modified during the transaction it will sign false data)
- Send the private key when necessary (may comprise the key)
Despite using SSL, I'm not very confortable with any of the two options for signing on the server side...
Using ActiveX may cause my application more vulnerable, right?
Hope you can help me :)
如果你对这篇内容有疑问，欢迎到本站社区发帖提问 参与讨论，获取更多帮助，或者扫码二维码加入 Web 技术交流群。
绑定邮箱获取回复消息
由于您还没有绑定你的真实邮箱，如果其他用户或者作者回复了您的评论，将不能在第一时间通知您！
发布评论
评论（1）
不幸的是，没有一个单一的解决方案可以在所有浏览器中进行客户端签名。我们目前正在为我们的 SecureBlackbox 产品开发分布式签名组件，并且我们已经创建了 Java 小程序、ActiveX控件和 Flex 脚本来执行签名。然而，所有变体都有缺点。例如，只有 ActiveX 控件可以访问 Windows 证书存储。对于其他模块类型，用户需要从 PFX (PKCS#12) 文件加载证书。
在服务器上上传和签名将不起作用，因为私钥并不总是可在客户端上导出（它可以驻留在加密令牌或智能卡上，或者只是不可导出），而且这种方法使整个过程毫无用处，因为它显着降低安全性。
更新：SecureBlackbox 9 现在处于公开测试版，支持客户端签名（我们为此提供了 ActiveX、Java 和 Flash 模块）。
There's no single solution for client-side signing in all browsers, unfortunately. We are currently working on distributed signature components for our SecureBlackbox product, and we've created Java applet, ActiveX control and Flex script to perform signing. However, all variants have shortcomings. For example, only ActiveX control can access windows certificate store. With other module types the user would need to load the certificate from PFX (PKCS#12) file.
Uploading and signing on the server won't work because the private key is not always exportable on the client (it can reside on cryptotoken or smartcard, or just be non-exportable), and also this approach makes the whole process useless as it significantly lowers security.
Update: SecureBlackbox 9 is in public beta now, with support for client-side signing (we provide ActiveX, Java and Flash modules for this).