X509证书实施最佳实践

Question

首先，感谢所有耐心的技术人员试图帮助未知的人。

其次，我有一个 wcf 服务，该服务只能由我们公司已知的几个客户 (10) 使用。此 wcf 服务具有 x509 证书“CN=ABCD”。现在它期望依次从客户端接收证书来使用该服务。这是设计问题

1. 我应该创建一个证书吗 "CN=ABCD" ，然后右键单击它 并导出为 pfx 文件 将它们分发给客户？
2. 有人说要在代码中验证 有人说要在配置中验证 更好吗？
3. 我怎么知道哪个客户是 由于证书具有相同的调用 如果我的公司是所有人的名字 分发它吗？
4. .cer 和有什么区别 文件和.pfx 文件？
5. 当将证书传递给 客户，我会同时提供 .cer 和 .pfx 文件？
6. 我该如何撤销仅一项 客户如果过期了？
7. 我公司已经有证书了 像 *.fdfd.org 。我可以用这个作为 我的 X509Certificate 而不是 生成一个？

很多问题！
但是由于很多挫败感，我想征求开发人员的意见，因为我无法获得正确的信息。

Answer 1

• 否您必须拥有单独的服务证书，并且您应该为每个客户拥有一个证书。一旦您共享服务的私钥，您的安全性就消失了。
• 您可以将客户端证书的公钥安装到机器\受信任的人员（具有任何受信任证书的客户端都可以访问您的服务），或者您可以使用自定义证书验证器（仅消息安全性 - 根据您的 上一个问题（您可能使用消息安全）实际上只验证这 10 个证书。
• 仅当您为每个客户端创建单独的证书时，这才可能实现。也可以将证书与支持的用户名和密码结合起来，但这需要非常高级的 WCF 配置，并且仍然在多个客户端之间共享单个证书是一个糟糕的决定。
• 证书只是一些信息的容器——非对称加密的密钥。 .cer 仅包含可以自由分发的公钥 - 您可能必须在客户端之间分发服务证书的 .cer 文件。 .pfx 包含公钥和私钥，必须尽可能确保安全。一旦 .pfx 文件遭到破坏，证书就不再受到保护，必须更换。因此，您必须保留服务的 .pfx（安装在证书凭证存储中），并且每个客户端都必须保留他的 .pfx。
• 如果您为客户端创建证书，您将至少传递 .pfx 给他们。显然，一旦您通过不安全的电子邮件发送此类证书，您就会严重损害安全性。
• 如果一个客户端过期，您将从受信任的证书中删除其证书。如果您有自己的证书颁发机构（如果您想为客户端创建证书，则应该拥有该证书颁发机构）
• 如果您的服务位于 fdfd.org 上，您可能可以使用它，但仅限于该服务。