Signieren von Daten in ASPX auf Clientseite

Question

In meiner Anwendung muss der Client signieren (mit einem Zertifikat) und Daten an den Server senden. Mein Zweifel ist, wie soll ich es tun?

Um auf der Clientseite anmelden, sollte ich ActiveX richtig verwenden? Mein Problem ist, dass Firefox es nicht unterstützt. Signing auf der Server-Seite habe ich zwei Möglichkeiten:

1. Speichern der private Schlüssel auf dem Server und es verwenden, wenn notwendig (wenn die Daten während der Transaktion modifiziert wird es falsche Daten unterschreiben)
2. den privaten senden Schlüssel bei Bedarf

Trotz Verwendung von SSL (kann den Schlüssel enthält), bin ich mit einem der beiden Optionen nicht sehr komfortabel auf der Serverseite für die Anmeldung ... ActiveX verwendet, kann meine Anwendung anfälliger verursachen, Recht?

Hoffe Ihr könnt mir helfen :)

Answer 1

ist es keine allgemeingültige Lösung für die clientseitige Unterzeichnung in allen Browsern, leider. Wir arbeiten derzeit an verteilten Signaturkomponenten für unser Produkt SecureBlackbox und haben ein Java-Applet, ein ActiveX-Steuerelement und ein Flex-Skript zum Signieren erstellt. Alle Varianten haben jedoch Mängel. Zum Beispiel kann nur das ActiveX-Steuerelement auf den Windows-Zertifikatspeicher zugreifen. Bei anderen Modultypen müsste der Benutzer das Zertifikat aus der PFX-Datei (PKCS # 12) laden.

Hochladen und Signieren auf dem Server wird nicht funktionieren, da der private Schlüssel nicht immer auf dem Client exportierbar ist (es kann auf cryptotoken oder Smartcard residieren, oder einfach nicht exportierbar sein), und auch dieser Ansatz macht den gesamten Prozess nutzlos, da es die Sicherheit erheblich senkt.

Update: SecureBlackbox 9 ist jetzt in der öffentlichen Betaversion, mit Unterstützung für clientseitige Signierung (wir bieten ActiveX, Java und Flash-Module dafür).