如何爲需要客戶端身份驗證的IIS站點製作模擬智能卡的證書

Question

我有一個使用智能卡（DoD CAC）進行身份驗證的網站項目。我需要製作多個測試證書，該證書可供網站用於客戶端驗證會話。似乎有可能有一個非智能卡的證書，用戶可以選擇客戶端身份驗證。

我對此感到滿意，因爲當我在我的MacBook上打開我的開發站點時，它向我展示了2個Apple證書。這些將不起作用，因爲我們的身份驗證過程在通用名稱末尾需要一個簡短的數字序列。

我已經嘗試了很多不同的東西，我無法創建一個證書，在打網站時與我的國防部CAC證書一起出現。在證書管理器中，Mac證書，DoC CAC和我的測試證書在「預期用途」字段中顯示「客戶端身份驗證」。我還擁有自己簽署的證書，作爲我的信任根的測試證書的CA。

DoD證書在預期目的字段中有「智能卡登錄」和「客戶端身份驗證」。我只能在使用makecert.exe時指定1 eku，因此我可以使用「客戶端身份驗證」或「智能卡登錄」值創建證書，但不能同時使用兩者。看起來合乎邏輯的是，我只需要使用「客戶端身份驗證」設置證書。

接下來，我將嘗試使用certreq，閱讀一些暗示我可以爲其預期目的設置多個值的內容。

如何製作我自己的客戶端認證證書，該網站會讓我選擇？

Answer 1

我有一個批處理文件，我在這裏維護：http://unmitigatedrisk.com/?p=28，它爲測試目的做了一個簡單的PKI。

我是爲Windows機器製作的，但你應該可以修改它，以便在mac上做一些小改動（基本上從command.com切換到sh）。

它使用OpenSSL來執行此操作，在創建的證書集中存在客戶端身份驗證證書。

要將證書導入到您的mac中，您需要將證書和密鑰轉換爲PKCS＃12文件。

您可以通過查看openssl.cnf文件輕鬆地更新腳本創建的證書配置文件。

希望這會有所幫助。