Заметки для себя: Настраиваем в IIS авторизацию по клиентским сертификатам при помощи OpenSSL

Для того, чтобы это работало, необходимо наличие как минимум трех сертификатов

1. Корневой сертификат (центра сертификации или ЦС). Он будет использоваться для подписи всех остальных.
2. Сертификат домена (сертификат сервера). Это будет использоваться IIS для проверки клиентов. И наоборот, клиенты смогут проверять подлинность сервера.
3. Сертификат(ы) клиента.

Для работы нам понадобится отдельная папка, например c:iis. В ней необходимо создать файл без расширения serial и записать туда 01, так же там нужно создать пустой файл index.txt.
В зависимости от конфигурации OpenSSL может попросить создать внутри
этой папки еще какие нибудь. В моем случае это была папка newcerts. Так же в OpenSSL.cfg нужно будет поменять в [ CA_default ] dir на c:/iis

1) Создадим корневой self-signed сертификат:
openssl req -new -x509 -newkey rsa:2048 -days 1000 -out c:iisca.crt -keyout c:iisca.key

После ряда простых вопросов сертификат появится в папке iis

ca.crt

И закрытый ключ для него

ca.key

Чтобы все сертификаты, подписанные корневым сертификатом, распознавались IIS, необходимо вставить корневой сертификат в хранилище сертификатов доверенного центра сертификации на компьютере:

1. Запустите mmc
2. Добавьте плагин сертификатов и укажите, что он будет управлять сертификатами от имени команды, иначе ничего не запустится.
3. Откройте “Доверенные корневые центры сертификации” и импортируйте туда наш центр сертификации:

Готово! Теперь сервер можно использовать.

В консоли управления IIS разверните раздел “Сертификаты сервера”, щелкните правой кнопкой мыши и выберите “Создать новый запрос на сертификат”. Сохраните его в c:iis как server.csr

Теперь подпишем запрос сертификата сервера корневым сертификатом:
openssl ca -days 1000 -policy policy_anything -keyfile
c:iisca.key -cert c:iisca.crt -in c:iisserver.csr -out
c:iisserver.cer
-policy policy_anything означает, что сертификату будут
предоставлены все возможные политики применения. Самый простой вариант.
Остальные параметры, полагаю, в пояснении не нуждаются. Главное, не
запутаться где какой файл указывать.
После этого у нас в c:iis появится сертификат сервера server.cer, которы нужно установить в IIS.
Для этого мы опять идем в «сертификаты сервера», выбираем «Запрос установки сертификата» и там указываем c:iisserver.cer.
Всё, сертификат у сервера есть.
Теперь нужно в привязках для узла создать новую https привязку и выбрать из списка наш серверный сертификат:

Затем настройте параметры SSL узла следующим образом:

Готово! Остался клиент. Но и на этом этапе уже можно зайти на https://localhost/ и увидеть, что без сертификата вас не пускает.

3) Генерируем запрос для клиентского сертификата
openssl req -new -newkey rsa:2048 -days 1000 -keyout c:iisclient.key -out c:iisclient.csr
Здесь мы не указывали -x509, поэтому получили обычный запрос на сертификат и закрытый ключ клиента.

Подписываем запрос:
openssl ca -days 1000 -policy policy_anything -keyfile
c:iisca.key -cert c:iisca.crt -in c:iisclient.csr -out
c:iisclient.crt
Тут тоже все понятно, в результате мы получим сертификат слиента client.crt

Теперь чтобы импортировать сертификат клиента в хранилище сертификатов
Windows вместе с ключом, нам необходимо конвертнуть crt key в контейнер
.pfx:
openssl pkcs12 -export -inkey c:iisclient.key -in c:iisclient.crt -out c:iisclient.pfx
Ура! Получили client.pfx, дважды кликнув на котором можно вызвать
диалог импорта сертификатов и, собственно установить то что получилось в
личное хранилище.

Если все сделано правильно, то после импорта сертификата в личное хранилище вас должно пустить по адресу https://localhost/ и показать содержимое.

Можно сгенерировать еще один сертификат с другими данными и тоже его
импортировать. Тогда при заходе на сервер вам предложат выбрать любой из
них:

Вот и все )
На последок код aspx странички (сохраните его как Default.aspx), который
позволит вам всё проверить: Он выводит информацию о клиентском
сертификате:
<%@ Page Language="C#"%>
<%@ Import Namespace="System.Security.Cryptography" %>
<scriptrunat="server">
privatevoid Page_Load(object sender, System.EventArgs e)
{
Response.Write("<table width=50% cellspacing=1><tr> <th colspan=2>Current ClientCertificate Settings</th></tr>");
Response.Write("<tr><td>Subject</td><td>" Request.ClientCertificate.Subject "</td></tr>");
Response.Write("<tr><td>SHA1 Fingerprint</td><td>" GetCertificateFingerPrint() "</td></tr>");
Response.Write("<tr><td>Valid from</td><td>" Request.ClientCertificate.ValidFrom "</td></tr>");
Response.Write("<tr><td>Valid Until</td><td>" Request.ClientCertificate.ValidUntil "</td></tr>");
Response.Write("<tr><td>Issuer</td><td>" Request.ClientCertificate.Issuer "</td></tr></table>");
}
private String GetCertificateFingerPrint()
{
if (Request.ClientCertificate.IsPresent)
{
byte[] raw = Request.ClientCertificate.Certificate;
SHA1 sha1 = new SHA1CryptoServiceProvider();
byte[] hash = sha1.ComputeHash(raw);
StringBuilder res = new StringBuilder();
for (int i = 0; i < hash.Length; i )
{
res.Append(hash[i].ToString("X2"));
}
return res.ToString();
}
return"";
}
</script>