1. 開啟 IIS, 點擊在首頁中的「伺服器憑證」項目
w-studio.idv.tw
2. 在右方動作處, 點擊建立網域憑證
2019年7月10日 星期三
2019年7月9日 星期二
建立ADFS使用的憑證 - 1.利用CA建立
在操作 ADFS時, 需要先建立一組憑證供其使用, 以下是利用 CA來建立:
2. 在憑證範本按滑鼠右鍵, 按下管理
1. 開啟CA憑證授權單位(certsrv)w-studio.idv.tw
2019年6月18日 星期二
虛擬智慧卡與TPM
虛擬智慧卡(Virtual Smart Card, VSC)是模擬實體智慧卡功能的一種軟體解決方案, 它讓你在沒有插入實體智慧卡(如 IC卡、身分識別卡)的情況下也能達成同樣的安全驗證目的, Windows Server 2012 ADCS引進了一項虛擬智慧卡技術, 在提供智慧卡安全性的同時, 也降低了材料和支援成本, 虛擬智慧卡把智慧卡的邏輯功能轉移到電腦的軟體環境中, 但依然保有與智慧卡相同的安全性操作, 例如使用憑證與私密金鑰
虛擬智慧卡與 TPM的關係:
虛擬智慧卡的安全性是依賴 TPM(Trusted Platform Module)晶片來實現, TPM是一種電腦中的硬體安全模組, 用來安全地儲存與操作加密金鑰, 虛擬智慧卡本身是軟體概念, 但其安全性依賴 TPM這個硬體
由於我的電腦中沒有 TPM這個裝置, 只能借用一下網路上的圖來展示
虛擬智慧卡+TPM:
。虛擬智慧卡使用 TPM來儲存和保護其私密金鑰
。TPM能確保金鑰無法匯出, 並只能在裝置中進行加密/解密運算
。即使是虛擬智慧卡, 也能提供類似實體智慧卡的高安全性
看到網路上說 Hyper-V虛擬機也能查看 BIOS, 試著操作一下只有下面的畫面, 沒有其他功能
w-studio.idv.tw
另外注意的是在建立虛擬機時只有世代第2代才有 TPM功能
2019年6月17日 星期一
在CA上設定智慧卡憑證
雖然在 Hyper-V虛擬機上無法玩智慧卡, 但還是記錄一下網上找到的大略設定過程
1. 在安裝好 ADCS後的部署後設定, 不太曉得是否要將密碼編譯改成這兩個?
w-studio.idv.tw
2. 但設定後卻出現錯誤, 這部分教材上沒教, 只能自己摸索
智慧卡(Smart Card)
智慧卡的一種
智慧卡猶如信用卡、提款卡等塑膠卡片, 是一個將 IC嵌入在塑膠卡中, 具有有限儲存和處理能力的微型電腦, 它提供多重驗證的選項, 也提供比密碼驗證更安全的保護, 與 PIN碼一起使用更有保護作用
本想試作一下使用 CA加上智慧卡登入系統, 試了很久後來才發現 Hyper-V的虛擬機並沒有支援這功能只能作罷😅
 |
| 虛擬機只能做到這樣 |
2019年6月16日 星期日
2019年6月15日 星期六
加密檔案系統(Encrypting File System, EFS)
加密檔案系統(Encrypting File System, EFS)是 Windows作業系統中的一項功能, 用來對儲存在 NTFS檔案系統上的檔案或資料夾進行透明的加密保護, 確保資料在儲存時是加密狀態, 即使檔案被竊取或磁碟遺失, 也無法被未授權的使用者讀取:
。Windows中內建的檔案層級加密技術
。加密與解密動作對使用者來說是透明的, 不需手動操作
。使用者只要使用其帳戶登入系統, 就可以像平常一樣存取加密檔案
。未授權的使用者(即使擁有檔案)也無法讀取內容, 因為缺乏對應的憑證與金鑰
EFS的運作方式:
1. 使用者選擇加密檔案或資料夾w-studio.idv.tw
2. 系統會自動產生一把檔案加密金鑰(FEK, File Encryption Key), 用來對檔案內容進行對稱加密(例如 AES)
3. 這把 FEK會使用使用者帳戶的 EFS憑證(含公鑰)加以加密, 這樣只有對應的私鑰可以解開 FEK
4. 加密後的 FEK儲存在檔案的屬性中(不會影響檔案格式)
5. 當使用者開啟檔案時, 系統會自動用其私鑰解開 FEK, 然後再用 FEK解密檔案內容
為什麼要用憑證進行 EFS加密?
因使用數位簽章只能保證重要文件資料不會被他人修改, 而無法保證其內容不會被存取, 使用憑證的目的是提供安全的非對稱加密來保護用於實際檔案加密的金鑰(FEK), 其好處如下:
1. 安全性高
。FEK是對稱金鑰, 效能高但不安全, 透過憑證的公鑰加密 FEK, 可以安全地保管 FEK
。私鑰只在擁有者帳戶中存在, 未經授權的使用者無法解密
2. 多用戶支援
可以讓多位使用者的公鑰一併加密 FEK, 實現多用戶共用加密檔案的需求
3. 支援恢復機制
系統可以指定一個資料恢復代理人(DRA, Data Recovery Agent)的憑證, 萬一使用者遺失私鑰也能透過 DRA解密檔案
4. 整合 AD
在企業中可以透過 AD自動設定 EFS憑證, 管理 DRA及進行金鑰備份, 強化控管與稽核
2019年6月14日 星期五
使用憑證對文件進行數位簽名(簽章)
1. 開啟小畫家隨意做個簽名圖, 存檔後備用 (用滑鼠寫的字醜請見諒)
w-studio.idv.tw
2. 開啟 Office Word任一已存檔文件, 於插入功能中點擊新增簽名欄
為何要使用數位簽章
使用數位簽章(Digital Signature)的主要目的是確保資料的完整性、認證身分與不可否認性, 這在電子文件、電子郵件、程式碼發佈、憑證簽發等場景中特別重要:
。完整性: 確保資料在傳輸或儲存過程中未被竄改, 若資料遭篡改, 數位簽章驗證將失敗
。認證身分: 簽章可證明資料的來源, 例如若某人用他的私密金鑰簽章, 我們可以藉由他的公開金鑰驗證其身分
。不可否認性: 一旦某人用他的私密金鑰簽署資料, 他無法否認這個行為, 因為只有他擁有該金鑰
w-studio.idv.tw
使用憑證進行數位簽章
數位簽章依賴於公開金鑰基礎架構(PKI), 其中憑證扮演關鍵角色, 憑證中包含了公鑰及持有者的身分資訊, 並由受信任的CA簽發, 數位簽章流程如下:
1. 準備資料: 欲簽章的資料(如文件、電子郵件內容等)
2. 計算雜湊值(Hash): 對原始資料使用雜湊演算法(如 SHA-256)產生一個固定長度的雜湊值
3. 使用私密金鑰進行加密: 使用持有者的私密金鑰對資料雜湊值進行加密, 產生數位簽章
4. 附加憑證與簽章: 將數位簽章及公開金鑰憑證(通常是X.509格式)一併附加到文件中
驗證數位簽章的流程
1. 提取簽章與憑證: 從檔案或郵件中提取出數位簽章與公開憑證
2. 計算雜湊值: 用相同的雜湊演算法重新計算收到資料的雜湊值
3. 用公開金鑰解密簽章: 用憑證中的公鑰解密數位簽章, 得到傳送者當時計算的雜湊值
4. 比對雜湊值: 若兩者一致, 表示資料未被竄改、簽章人身分可信
2019年6月12日 星期三
在商業環境中使用SSL憑證
在商業環境中, 使用憑證來進行 SSL主要是為了確保網路傳輸的安全性與資料的加密保護, SSL是一種安全通訊協定, 用於在網路上加密資料傳輸, 防止資料在傳輸過程中被竊聽或竄改, 在商業環境中常用於:
。網站的 HTTPS連線(如網路商店、銀行網站)
。郵件伺服器(如 SMTPS、IMAPS)
。VPN、安全 API、內部系統間通訊等
使用憑證進行 SSL的流程:
1. 伺服器申請憑證
。向公開憑證授權單位(CA)申請 SSL憑證或在內部企業環境中使用 ADCS發佈內部憑證
2. 安裝憑證
。將獲得的憑證安裝在 Web Server或應用程式伺服器上, 通常也會安裝「中繼憑證」與「根憑證」來建立完整憑證鏈
3. 使用者端連線驗證w-studio.idv.tw
。用戶端(瀏覽器)連線伺服器時, 會檢查伺服器的憑證是否合法:
--是否過期
--是否由信任的 CA發佈
--憑證名稱是否符合網域
。驗證成功後, 建立對稱加密的會話金鑰
4. 加密資料傳輸
雙方使用協商好的金鑰進行資料加密, 保護通訊內容
2019年6月10日 星期一
金鑰復原代理(KRA)
當我們談到金鑰保存與修復時, 其中一項重要機制就是金鑰復原代理(Key Recovery Agent, KRA), 這是一種為了協助復原用戶金鑰而設計的角色, 特別在企業中使用加密憑證的情境下非常關鍵
什麼是金鑰復原代理(KRA):
KRA是一種具有特殊憑證的帳戶, 用來復原經由 CA發行的用戶私密金鑰(僅限用於加密用途的金鑰), CA在發行加密憑證時, 可以同時將用戶的私密金鑰進行金鑰封存, 這些封存的金鑰被加密並儲存在 CA中, 只有具備金鑰復原代理憑證的帳戶才能進行復原操作
為什麼需要 KRA:
1. 避免資料永久遺失(尤其是加密郵件、加密文件)
。若使用者的電腦遺失或私密金鑰遺失, 用戶自己無法解密先前加密的資料
。使用 KRA就可以由授權管理員幫使用者復原金鑰, 取回資料
2. 增加資料恢復的可用性
與備份相比, KRA是針對個人私密金鑰的復原機制, 特別適用於用戶端加密的情況(例如 EFS或 S/MIME加密郵件)
KRA的簡要運作流程
。建立 KRA憑證(透過 KRA憑證範本發行給指定帳戶)
。在 CA上設定允許金鑰封存, 並指定 KRA憑證w-studio.idv.tw
。使用者申請加密憑證時, CA同時封存其私密金鑰(加密給 KRA公鑰)
。若有需要, 管理員可使用 KRA憑證來復原該金鑰
。將復原的金鑰(通常為 .pfx 格式)交給使用者重新匯入
安全注意事項
。不可濫用 KRA憑證, 避免未授權的金鑰存取
。應有內部原則規定: 誰可以做復原、是否需要雙重認證流程
。建議將 KRA憑證儲存於 HSM(硬體安全模組)或密碼保護的安全位置
2019年6月9日 星期日
金鑰的保存與修復
在憑證授權單位(CA)中, 金鑰的保存及修復極為重要, CA金鑰若遺失或無法修復, 整個 PKI架構將遭受破壞, 導致業務中斷與信任危機, 因此金鑰的妥善保存與可修復性, 是 CA系統運作中最關鍵的項目之一
1. CA私密金鑰是整個 PKI信任的根本
。CA的私密金鑰(Private Key)用來簽署憑證
。憑證的合法性仰賴 CA私密金鑰的安全性與完整性
。如果金鑰遺失或遭竄改, 所有已簽署的憑證將無法再被信任, 整個 PKI架構將失效
2. 金鑰遺失即憑證無法運作
。如果 CA的私密金鑰遺失或損壞將導致: 無法簽發新的憑證, 無法簽署憑證撤銷清單(CRL), 無法進行 OCSP回應
。這會導致系統與使用者無法進行憑證驗證, 進而中斷業務運作(如VPN、網站SSL、用戶登入等)
w-studio.idv.tw
3. 無法修復會導致 CA必須重新部署
。若無備份或無法修復金鑰, 只能撤銷 CA並建立新的 CA
。需重新簽發所有受憑證影響的裝置與使用者, 成本高、風險大、耗時長
4. 金鑰保存與修復的實務作法
。備份 CA私密金鑰與憑證(含私密金鑰的 PFX格式)
。安全地儲存在離線或受保護的媒介(如 HSM、加密USB、金鑰儲存模組)
。定期測試復原程序, 確保備份可用
。使用密碼或金鑰保護備份, 防止未授權存取
2019年6月8日 星期六
憑證撤銷如何運作
在憑證授權單位(CA)中, 憑證撤銷(Certificate Revocation)是一項重要機制, 用來讓使用者或系統知道某張原本有效的憑證已不再可信, 應立即停止信任
為什麼需要撤銷憑證？
。憑證所對應的私密金鑰遺失或被竊
。憑證持有人不再受信任或離職
。憑證內容有錯誤
。憑證被誤發
。安全政策變更不再允許該憑證用途
憑證撤銷的運作流程
1. CA收到撤銷請求: 憑證持有人或管理員向 CA送出撤銷憑證的請求
2. CA驗證與執行撤銷: CA確認撤銷的原因與授權後, 將該憑證標記為「撤銷」狀態, 記錄在 CRL(Certificate Revocation List)或可透過 OCSP提供查詢
3. 發布撤銷資訊w-studio.idv.tw
CA會將撤銷的憑證資訊透過下列兩種方式發布:
。CRL(憑證撤銷清單):
--一份清單檔案, 列出所有已撤銷但尚未過期的憑證序號
--用戶端在驗證憑證時下載該清單並檢查是否被列入
。OCSP(線上憑證狀態通訊協定):
--一種即時查詢憑證狀態的協定
--用戶端可詢問「這張憑證是否有效？」CA回應 good、revoked或 unknown
2019年6月7日 星期五
2019年6月6日 星期四
什麼是註冊代理
w-studio.idv.tw
在部署 ADCS時, 所謂的註冊代理(Enrollment Agent)是一種特定權限角色, 其主要功能是代表其他使用者或電腦來申請憑證, 有些情況下, 使用者或裝置無法自行申請憑證, 這時就需要一個具備「註冊代理」權限的帳戶來代為處理憑證申請, 例如:
。使用者不具備申請憑證的權限或技術知識
。裝置尚未連線到網域(如智慧卡初始化、VPN、IoT裝置)
。需要集中管理憑證申請與發放(例如 IT人員統一申請發放憑證給新進員工)
註冊代理的使用流程
。指派代理人員: 在 CA中指派特定帳戶為「註冊代理」
。設定範本授權: 將憑證範本設為允許「Enrollment Agent」申請
。代為註冊憑證: 代理人登入後使用憑證註冊工具幫其他使用者申請憑證
。憑證發放: CA發出憑證最終交付給指定使用者或設備
由於「註冊代理」具備代表他人申請憑證的能力潛在風險較高, 建議:
。僅指派可信帳戶
。搭配稽核日誌(Audit Logs)追蹤代理人操作
。僅開放特定憑證範本使用註冊代理功能
。可搭配智慧卡憑證發放管理(如 smart card enrollment)
2019年6月4日 星期二
註冊及使用憑證, 設定自動註冊及驗證
1. 於 AD主機上開啟群組原則管理, 編輯 Default Domain Policy
2. 在群組原則管理編輯器中, 展開使用者設定\原則\Windows設定\安全性設定\公開金鑰原則, 開啟右邊視窗中「憑證服務用戶端-自動註冊」w-studio.idv.tw
憑證註冊方法
在部署 ADCS的環境中, 使用者或電腦可以透過多種方式註冊憑證, 包括自動註冊、手動註冊、CA 網站註冊與代理註冊, 以下是各種註冊方法的說明與使用方式:
1. 自動註冊(Autoenrollment)
。用途: 適合 AD內部大量使用者或電腦需要自動獲得憑證的情境, 如用於使用者登入、電腦驗證、EFS、IPSec 等
。使用方式:
--需要企業 CA與 AD群組原則(GPO)支援
--開啟 GPO, 啟用憑證自動註冊
--憑證範本需設定為「允許自動註冊」並授權目標主體(例如電腦或使用者)讀取與註冊權限
--當裝置開機或使用者登入會自動註冊與續約憑證
2. 手動註冊(Manual Enrollment)
。用途: 用於測試或特定自訂需求, 或是無法使用自動註冊的裝置
。使用方式:
--使用者透過 MMC主控台手動提出憑證要求w-studio.idv.tw
--通常需要 CA管理員人工核准(取決於憑證範本的設定)
3. CA網站註冊(Web Enrollment)
。用途: 適用於無法加入網域的電腦、第三方系統或跨平台裝置申請憑證
。使用方式:
--須安裝 CA的「Web Enrollment」角色服務
--使用者透過網頁(例如 http://<CA_Server>/certsrv)手動提出憑證請求
--支援線上下載憑證及憑證鏈
4. 代理註冊(Enrollment Agent / Enrollment on Behalf)
。用途: 適用於 IT管理員幫助其他使用者(如來賓帳號、服務帳號)申請憑證
。使用方式:
--CA管理員必須先授權某使用者為註冊代理人(Enrollment Agent)
--使用者需使用憑證註冊代理人憑證登入
--應用情境: 智慧卡註冊、Kiosk 帳戶、代管帳戶註冊等
