Použití podpisového certifikátu na TPM čipu

Question

Ahoj,

Zkoušel jsem použít podpisový certifikát pomocí Virtual smart card (vytvoření Tpmvscmgr a instalace certifikátu certutil). Tento token však v aplikacích pro podpis není vidět.

Dá se nějak instalovat certifikát pro podpis, aby soukromý klíč byl chráněn v TPM a byl neexportovatelný? (Chránění podpisové identity před viry, může ovládnou PC ale nemůže zcela ukrást identitu.)

Děkuji za všechny nápady.

PS: HW Token pochopitelně mám, jde mi o případnou podobnou ochranu na zařízení s Windows 10/11 s TPM.

*** Moved from Windows / Windows 10 / Security, privacy, and accounts ***

Answer 1

Tato odpověď byla automaticky přeložena. V důsledku toho může obsahovat gramatické chyby nebo neobvyklé formulace.

Dobrý den, ÷×,

Děkujeme za příspěvek do fóra komunity společnosti Microsoft.

Toho můžete dosáhnout využitím virtuální čipové karty (VSC) vytvořené pomocí čipu TPM (Trusted Platform Module) a správnou správou certifikátů. Tady je obecný přístup, jak zajistit, aby byl váš podpisový certifikát nainstalovaný tak, aby byl soukromý klíč chráněný čipem TPM a nedal se exportovat:

Kroky k vytvoření a použití virtuální čipové karty s čipem TPM

1.Vytvořte virtuální čipovou kartu (VSC):

Otevřete příkazový řádek jako správce a spusťte následující příkaz:

Tpmvscmgr create /name <Název_VSCName> /pin defaultpin /adminpin defaultadminpin

Nahraďte <VSCName>' názvem vaší virtuální čipové karty a nastavte výchozí PIN kódy. Z bezpečnostních důvodů byste měli tyto PIN kódy později změnit.

2.Importujte certifikát:

Vygenerujte žádost o certifikát:

Pomocí následujícího příkazu vygenerujte požadavek pomocí VSC:

certreq -new <CertRequest.inf> <CertRequest.req>

Vytvořte soubor INF ('CertRequest.inf') s potřebnými podrobnostmi žádosti o certifikát a odkazem na VSC.

Odešlete žádost:

Chcete-li certifikát získat, odešlete vygenerovaný soubor žádosti (CertRequest.req) své certifikační autoritě (CA).

Nainstalujte certifikát:

Po obdržení certifikátu od certifikační autority jej nainstalujte pomocí:

certreq -accept <CertResponse.cer>

3.Ujistěte se, že certifikát a klíč nejsou exportovatelné:

Ujistěte se, že je certifikát označený jako neexportovatelný a je uložený v úložišti s hardwarovým zálohováním. Toto nastavení se obvykle spravuje ve výchozím nastavení při použití VSC a TPM, ale můžete ho ověřit pomocí Správce certifikátů (certmgr.msc).

4.Zpřístupněte VSC pro podpisové aplikace:

Některé aplikace pro podepisování nemusí automaticky detekovat VSC založené na čipu TPM. Můžete ručně zajistit, aby byl certifikát přístupný pro tyto aplikace. Například může být nutné zadat umístění úložiště certifikátů nebo použít middleware, který podporuje VSC.

5. Testování:

Otevřete aplikaci pro podpis a zkontrolujte dostupné tokeny nebo certifikáty. Měl by se zobrazit certifikát přidružený k vašemu VSC.

Dodatečné poznámky

1. Správa PIN:

Ujistěte se, že jste změnili výchozí PIN kódy nastavené při vytváření VSC na něco zabezpečeného.

Middleware:

2. Některé aplikace pro podepisování mohou pro interakci s VSC vyžadovat specifický middleware. Ujistěte se, že vaše aplikace podporuje VSC a klíče založené na čipu TPM.
3. Kompatibilita:

Zkontrolujte kompatibilitu s vaším operačním systémem a podepisovacím softwarem. Ne všechny aplikace nebo verze operačního systému podporují VSC stejně dobře.

Pokud vaše aplikace pro podpis stále nerozpozná VSC, podívejte se do její dokumentace, kde najdete konkrétní kroky potřebné k integraci certifikátů založených na čipu TPM, nebo se obraťte na jejich podporu, kde vám poradí.

Doufám, že výše uvedené informace jsou užitečné.

Máte-li jakékoli dotazy nebo obavy, dejte nám vědět.

S pozdravem

Daisy Zhou

Answer 2

Můžete rozvést bod 4 (popis ručního zpřístupnění / midleware). VSC jsem pochopitelně udělal a za pomocí certutil instaloval certifikát*.*

Děkuji.

Answer 3

Tato odpověď byla automaticky přeložena. V důsledku toho může obsahovat gramatické chyby nebo neobvyklé formulace.

Dobrý den

Hezký den!

Je mi líto, ale nejsem obeznámen s obsahem této části, ale po mém dotazu jsou následující informace pro vaši informaci.

Zde je několik obecných kroků, které můžete zvážit, abyste zajistili kompatibilitu a přístupnost:

1. Umístění úložiště certifikátů:

Ujistěte se, že je certifikát uložený v umístění, ke kterému má vaše aplikace přístup. To může zahrnovat:

Instalace certifikátů:

Ujistěte se, že je certifikát přidružený k VSC správně nainstalovaný v příslušném úložišti certifikátů (např. "osobní" nebo "moje").

Konfigurace aplikací:

Některé aplikace vyžadují, abyste zadali umístění úložiště certifikátů. Pokyny k nastavení najdete v dokumentaci k aplikaci.

2. Podpora middlewaru:

Instalace middlewaru:

Nainstalujte middleware, který podporuje VSC založené na čipu TPM. Middleware funguje jako prostředník mezi čipem TPM a aplikací a poskytuje potřebná rozhraní API a ovladače.

Konfigurace middlewaru:

Nakonfigurujte middleware podle požadavků vaší aplikace pro podpisy. To může zahrnovat nastavení proměnných prostředí, úpravu konfiguračních souborů nebo použití konkrétního nástroje pro správu middlewaru.

3. Konfigurace aplikace:

Konfigurační soubory:

Upravte konfigurační soubory podepisující aplikace tak, aby odkazovaly na správné úložiště certifikátů.

Integrace API:

Upravte kód aplikace (pokud máte přístup) tak, aby se správně propojoval s middlewarem nebo VSC.

4. Testování a validace:

Testovací podpisy:

Proveďte testovací podpisy pomocí VSC, abyste se ujistili, že vše funguje správně.

Řešení problémů:

Pokud dojde k problémům, použijte protokoly a diagnostické nástroje poskytované middlewarem nebo aplikací k identifikaci a řešení případných problémů.

S pozdravem
Daisy Zhou

Answer 4

Odkaz na Middleware software by nebyl?

Patrně si ho nenaprogramuji.

Answer 5

Tato odpověď byla automaticky přeložena. V důsledku toho může obsahovat gramatické chyby nebo neobvyklé formulace.

Dobrý den

Hezký den!

Mohlo by to být užitečné.

Co je middleware – definice a příklady | Microsoft Azure

S pozdravem
Daisy Zhou