Sertifikalara giriş

Bu makalede, WinUI uygulamalarında sertifikaların kullanımı ele alınmaktadır. Dijital sertifikalar ortak anahtar şifrelemesinde bir ortak anahtarı bir kişiye, bilgisayara veya kuruluşa bağlamak için kullanılır. Bağlı kimlikler genellikle bir varlığın kendisini diğerine doğrulamak için kullanılır. Örneğin, sertifikalar genellikle bir web sunucusunun kimliğini bir kullanıcıya ve bir kullanıcının web sunucusuna kimliğini doğrulamak için kullanılır. Sertifika istekleri oluşturabilir ve verilen sertifikaları yükleyebilir veya içeri aktarabilirsiniz. Sertifika hiyerarşisinde bir sertifika da kaydedebilirsiniz.

Paylaşılan sertifika depoları

WinUI uygulamaları, Windows 8'de tanıtılan yeni yalıtımcı uygulama modelini kullanır. Bu modelde uygulamalar, açıkça izin verilmediği sürece uygulamanın kendi dışındaki kaynaklara veya dosyalara erişmesini engelleyen, uygulama kapsayıcısı olarak adlandırılan düşük düzeyli işletim sistemi yapısında çalışır. Aşağıdaki bölümlerde bunun ortak anahtar altyapısı (PKI) üzerindeki etkileri açıklanmaktadır.

Uygulama kapsayıcısı başına sertifika depolama

Belirli bir uygulama kapsayıcısında kullanılmak üzere tasarlanan sertifikalar kullanıcı başına, uygulama kapsayıcısı konumlarına göre depolanır. Uygulama kapsayıcısında çalışan bir uygulamanın yalnızca kendi sertifika depolama alanına yazma erişimi vardır. Uygulama depolarından herhangi birine sertifika eklerse, bu sertifikalar diğer uygulamalar tarafından okunamaz. Bir uygulama kaldırılırsa, uygulamaya özgü tüm sertifikalar da kaldırılır. Bir uygulamanın MY ve REQUEST deposu dışındaki yerel makine sertifika depolarına okuma erişimi de vardır.

Önbellek

Her uygulama kapsayıcısında doğrulama, sertifika iptal listeleri (CRL) ve çevrimiçi sertifika durum protokolü (OCSP) yanıtları için gereken veren sertifikaları depolayabileceğiniz yalıtılmış bir önbellek bulunur.

Paylaşılan sertifikalar ve anahtarlar

Bir akıllı kart okuyucuya takıldığında, kartta yer alan sertifikalar ve anahtarlar my store kullanıcısına yayılır ve kullanıcının çalıştırdığı tüm tam güven uygulamaları tarafından paylaşılabilir. Ancak varsayılan olarak uygulama kapsayıcılarının kullanıcı başına MY store erişimi yoktur.

Bu sorunu gidermek ve sorumlu gruplarının kaynak gruplarına erişmesini sağlamak için uygulama kapsayıcısı yalıtım modeli yetenekler kavramını destekler. Bir özellik, uygulama kapsayıcısı işleminin belirli bir kaynağa erişmesine olanak tanır. sharedUserCertificates yeteneği, uygulama kapsayıcısına Kullanıcı MY deposu ve Akıllı Kart Güvenilen Kökler deposunda bulunan sertifikalar ve anahtarlara okuma erişimi verir. Bu özellik, kullanıcı REQUEST deposuna okuma erişimi vermez.

Aşağıdaki örnekte gösterildiği gibi bildirimde sharedUserCertificates özelliğini belirtirsiniz.

<Capabilities>
    <Capability Name="sharedUserCertificates" />
</Capabilities>

Sertifika alanları

X.509 ortak anahtar sertifika standardı zaman içinde düzeltilmiştir. Veri yapısının ardışık her sürümü, aşağıdaki çizimde gösterildiği gibi önceki sürümlerde bulunan alanları koruyarak daha fazlasını eklemiştir.

Sertifika isteği oluşturmak için CertificateRequestProperties sınıfını kullandığınızda bu alanların ve uzantıların bazıları doğrudan belirtilebilir. Çoğu yapamaz. Bu alanlar veren yetkili tarafından doldurulabilir veya boş bırakılabilir. Alanlar hakkında daha fazla bilgi için aşağıdaki bölümlere bakın:

Sürüm 1 alanları

Alan	Açıklama
Sürüm	Kodlanmış sertifikanın sürüm numarasını belirtir. Şu anda bu alanın olası değerleri 0, 1 veya 2'dir.
Seri Numarası	Sertifika yetkilisi (CA) tarafından sertifikaya atanan pozitif, benzersiz bir tamsayı içerir.
İmza Algoritması	SERTIFIKAyı imzalamak için CA tarafından kullanılan algoritmayı belirten bir nesne tanımlayıcısı (OID) içerir. Örneğin, 1.2.840.113549.1.1.5, RSA Laboratuvarlarından RSA şifreleme algoritmasıyla birlikte bir SHA-1 karma algoritması belirtir.
Sertifikayı veren	Sertifikayı oluşturan ve imzalayan CA'nın X.500 ayırt edici adını (DN) içerir.
Geçerlilik	Sertifikanın geçerli olduğu zaman aralığını belirtir. 2049 sonuna kadar olan tarihler Eşgüdümlü Evrensel Saat (Greenwich Saati) biçimini (yymmddhhmmssz) kullanır. 1 Ocak 2050 ile başlayan tarihler genelleştirilmiş saat biçimini (yyyymmddhhmmssz) kullanır.
Konu	Sertifikada yer alan ortak anahtarla ilişkili varlığın X.500 ayırt edici adını içerir.
Ortak Anahtar	Ortak anahtarı ve ilişkili algoritma bilgilerini içerir.

Sürüm 2 alanları

X.509 sürüm 2 sertifikası, sürüm 1'de tanımlanan temel alanları içerir ve aşağıdaki alanları ekler.

Alan	Açıklama
Verici Benzersiz Tanımlayıcısı	Zaman içinde farklı varlıklar tarafından yeniden kullanıldığında CA'nın X.500 adını belirsiz hale getirmek için kullanılabilecek benzersiz bir değer içerir.
Konu Benzersiz Tanımlayıcısı	Zaman içinde farklı varlıklar tarafından yeniden kullanıldığında sertifika konusunun X.500 adını belirsiz hale getirmek için kullanılabilecek benzersiz bir değer içerir.

Sürüm 3 uzantıları

X.509 sürüm 3 sertifikası, sürüm 1 ve sürüm 2'de tanımlanan alanları içerir ve sertifika uzantıları ekler.

Alan	Açıklama
Yetki Anahtarı Tanımlayıcısı	Sertifikayı imzalamak için kullanılan CA özel anahtarına karşılık gelen sertifika yetkilisi (CA) ortak anahtarını tanımlar.
Temel Kısıtlamalar	Varlığın CA olarak kullanılıp kullanılamayacağını ve kullanılıyorsa sertifika zincirinde bunun altında bulunabilecek alt CA'ların sayısını belirtir.
Sertifika İlkeleri	Sertifikanın hangi ilkeler altında verildiğini ve hangi amaçla kullanılabileceğini belirtir.
CRL Dağıtım Noktaları	Temel sertifika iptal listesinin (CRL) URI'sini içerir.
Gelişmiş Anahtar Kullanımı	Sertifikada yer alan ortak anahtarın nasıl kullanılabileceğini belirtir.
Sertifika Yetkilisinin Alternatif Adı	Sertifika isteğini veren için bir veya daha fazla alternatif ad formu belirtir.
Anahtar Kullanımı	Sertifikada yer alan ortak anahtar tarafından gerçekleştirilebilecek işlemlere yönelik kısıtlamaları belirtir.
Ad Kısıtlamaları	Bir sertifika hiyerarşisindeki tüm konu adlarının içinde bulunması gereken ad alanını belirtir. Uzantı yalnızca bir CA sertifikasında kullanılır.
İlke Kısıtlamaları	İlke eşlemesini engelleyerek veya hiyerarşideki her sertifikanın kabul edilebilir bir ilke tanımlayıcısı içermesini gerektirerek yol doğrulamasını kısıtlar. Uzantı yalnızca bir CA sertifikasında kullanılır.
Politika Eşlemeleri	Veren CA'daki ilkelere karşılık gelen bir alt CA'daki ilkeleri belirtir.
Özel Anahtar Kullanım Dönemi	Özel anahtar için, özel anahtarın ilişkilendirildiği sertifikadan farklı bir geçerlilik süresi belirtir.
Konu Alternatif Adı	Sertifika isteğinin konusu için bir veya daha fazla alternatif ad formu belirtir. Alternatif formlara örnek olarak e-posta adresleri, DNS adları, IP adresleri ve URI'ler verilebilir.
Konu Dizini Öznitelikleri	Sertifika sahibinin millitesi gibi kimlik özniteliklerini iletir. Uzantı değeri, OID-değer çiftlerinin dizisidir.
Konu Anahtarı Tanımlayıcısı	Sertifika sahibi tarafından tutulan birden çok ortak anahtarı farklılaştırır. Uzantı değeri genellikle anahtarın SHA-1 karmasıdır.