Vorgehensweise: Einrichten von Clientzertifikaten

  • Artikel

* * *

Auf dieser Seite

Zielsetzung Zielsetzung
Betrifft Betrifft
Verwendung dieses Moduls Verwendung dieses Moduls
Zusammenfassung Zusammenfassung
Erstellen einer einfachen Webanwendung Erstellen einer einfachen Webanwendung
Konfigurieren der Webanwendung für die Anforderung von Clientzertifikaten Konfigurieren der Webanwendung für die Anforderung von Clientzertifikaten
Anfordern und Installieren eines Clientzertifikats Anfordern und Installieren eines Clientzertifikats
Prüfen der Funktion des Clientzertifikats Prüfen der Funktion des Clientzertifikats
Weitere Ressourcen Weitere Ressourcen

Zielsetzung

Themenbereiche:

  • Anfordern und Installieren eines clientseitigen Zertifikats

  • Erstellen einer ASP.NET-Webanwendung, für die clientseitige Zertifikate erforderlich sind

 

Betrifft

Die Informationen in diesem Modul gelten für folgende Produkte und Technologien:

  • Microsoft® Windows® XP oder Windows 2000 Server (mit Service Pack 3) und höhere Betriebssysteme

  • Microsoft Internetinformationsdienste (IIS) 5.0

  • Microsoft Zertifikatdienste (sofern Sie eigene Zertifikate erzeugen müssen)

  • Microsoft .NET Framework Version 1.0 (mit Service Pack 2) und höhere Versionen

  • Microsoft Visual C#® .NET

 

Verwendung dieses Moduls

Empfehlungen für eine erfolgreiche Arbeit mit diesem Modul:

  • Sie müssen über Erfahrung in der Verwendung von Visual C# .NET und Microsoft Visual Studio® .NET verfügen.

  • Sie sollten über Erfahrung in der Entwicklung von Webanwendungen mithilfe von ASP.NET verfügen.

  • Sie müssen Erfahrung in der Konfiguration von IIS besitzen.

  • Sie benötigen Zugriff auf eine Certification Authority (CA oder Zertifizierungsstelle), beispielsweise Microsoft Zertifikatdienste, falls Sie neue Clientzertifikate erzeugen möchten.

  • Sie müssen sich entscheiden, bei welcher kommerziellen CA Sie ein Clientzertifikat anfordern möchten, sofern Sie nicht Ihre eigenen Zertifikat erzeugen möchten. Einige CAs erheben für diese Dienstleistung Gebühren.

  • Sie müssen über einen Webserver mit einem installierten SSL-Zertifikat verfügen. Lesen Sie "Vorgehensweise: Einrichten von SSL auf einem Webserver"", um detaillierte Informationen zu erhalten.

  • Einen Vergleich von Clientzertifikaten und anderen Formen der Authentifizierung finden Sie in Modul 2, "Sicherheitsmodell für ASP.NET-Anwendungen".

 

Zusammenfassung

Mit Clientzertifikaten steht ein ausgezeichneter Authentifizierungsmechanismus für Webanwendungen zur Verfügung. Ein Browser oder eine andere Clientanwendung muss ein gültiges Zertifikat vorlegen, bevor der Zugriff auf die Anwendung gestattet wird; dadurch wird vermieden, dass der Client Benutzernamen und Kennwörter angeben muss. Daher sind clientseitige Zertifikate besonders hilfreich bei der Erstellung sicherer Webdienste, auf die andere Clientanwendungen zugreifen.

In diesem Modul wird ausführlich erläutert, wie ein clientseitiges Zertifikat abgerufen und installiert wird. Außerdem erfahren Sie, wie eine Webanwendung erstellt wird, für die clientseitige Zertifikate erforderlich sind.

 

Erstellen einer einfachen Webanwendung

In diesem Verfahren erstellen Sie eine einfache Webanwendung zu Testzwecken.

  • So erstellen Sie eine einfache Webanwendung

    1. Starten Sie Visual Studio .NET, und erstellen Sie eine neue Visual C# ASP.NET-Webanwendung mit Namen SecureApp.

    2. Ziehen Sie aus der Toolbox ein Bezeichnungsfeld-Steuerelement auf das Webformular WebForm1.aspx, und legen Sie dessen ID-Eigenschaft auf message fest.

    3. Ziehen Sie ein zweites Bezeichnungsfeld auf WebForm1.aspx, und legen Sie dessen ID-Eigenschaft auf certData fest.

    4. Fügen Sie der Ereignisprozedur Page_Load den nachfolgenden Code hinzu.

string username;
username = User.Identity.Name;
message.Text = "Willkommen " + username;
HttpClientCertificate cert = Request.ClientCertificate;
if (cert.IsPresent)
{
  certData.Text = "Clientzertifikat abgerufen";
}
else
{
  certData.Text = "Kein Clientzertifikat";
}

  1. Klicken Sie im Menü Erstellen auf Projektmappe erstellen.

  2. Starten Sie Internet Explorer, und navigieren Sie zu https://localhost/SecureApp/WebForm1.aspx.
    Die Seite sollte mit den Meldungen "Willkommen" und "Kein Clientzertifikat" angezeigt werden (es wird kein Benutzername angezeigt, da der Benutzer nicht authentifiziert wurde).

  3. Schließen Sie Internet Explorer.

 

Konfigurieren der Webanwendung für die Anforderung von Clientzertifikaten

In diesem Verfahren wird Internetinformationsdienste (IIS) verwendet, um das virtuelle Verzeichnis der Webanwendung für die Anforderung von Zertifikaten zu konfigurieren.

Das Verfahren setzt voraus, dass auf dem Webserver ein gültiges Zertifikat installiert ist. Weitere Informationen über das Installieren von Webserverzertifikaten finden Sie unter "Vorgehensweise. Einrichten von SSL auf einem Webserver".

  • So konfigurieren Sie das virtuelle Verzeichnis der Webanwendung für die Anforderung von Clientzertifikaten

    1. Starten Sie IIS auf dem Webdienst-Hostcomputer.

    2. Wechseln Sie zum virtuellen Verzeichnis SecureApp.

    3. Klicken Sie mit der rechten Maustaste auf SecureApp, und klicken Sie dann auf Eigenschaften.

    4. Klicken Sie auf die Registerkarte Verzeichnissicherheit.

    5. Klicken Sie unter Sichere Kommunikation auf Bearbeiten.

      Wenn der Befehl Bearbeiten nicht zur Verfügung steht, ist wahrscheinlich kein Webserverzertifikat installiert.

    6. Aktivieren Sie das Kontrollkästchen Sicheren Kanal verlangen (SSL).

    7. Wählen Sie die Option Clientzertifikate verlangen.

    8. Klicken Sie auf OK und dann noch einmal auf OK.

    9. Klicken Sie im Dialogfeld Vererbungsüberschreibungen auf Alles auswählen, und klicken Sie dann auf OK, um das Eigenschaftendialogfeld von SecureApp zu schließen.
      Hiermit werden die neuen Sicherheitseinstellungen allen Unterverzeichnissen im virtuellen Stammverzeichnis zugewiesen.

    10. Um sich zu vergewissern, dass die Website ordnungsgemäß konfiguriert wurde, starten Sie Internet Explorer und navigieren Sie (unter Verwendung von HTTPS) zu https://localhost/Secureapp/Webform1.aspx.

    11. Nun zeigt Internet Explorer das Dialogfeld Clientauthentifizierung an, in dem Sie aufgefordert werden, ein Clientzertifikat auszuwählen. Da noch kein Clientzertifikat installiert wurde, klicken Sie auf OK und bestätigen die Fehlermeldung, die besagt, dass für die Seite ein Clientzertifikat benötigt wird.

    12. Schließen Sie Internet Explorer.

 

Anfordern und Installieren eines Clientzertifikats

In diesem Verfahren wird ein clientseitiges Zertifikat installiert. Sie können ein Zertifikat von einer beliebigen Zertifizierungsstelle verwenden, oder Sie können mithilfe der Microsoft Zertifikatdienste ein eigenes Zertifikat erzeugen, wie in den folgenden Abschnitten erläutert.

In diesem Verfahren wird davon ausgegangen, dass die Microsoft Zertifikatdienste für ausstehende Anforderungen konfiguriert sind, was bedeutet, dass das Zertifikat explizit von einem Administrator ausgestellt werden muss. Die Microsoft Zertifikatdienste können auch so konfiguriert werden, dass Zertifikate automatisch in Reaktion auf Zertifikatsanforderungen ausgestellt werden.

  • So prüfen Sie den Zertifikatsanforderungsstatus

    1. Klicken Sie auf dem Computer, auf dem die Microsoft Zertifikatdienste ausgeführt werden, in der Programmgruppe Verwaltung auf Zertifizierungsstelle.

    2. Erweitern Sie Zertifizierungsstelle (Lokal), klicken Sie mit der rechten Maustaste auf die Zertifizierungsstelle, und klicken Sie dann auf Eigenschaften.

    3. Klicken Sie auf die Registerkarte Richtlinienmodul, und klicken Sie dann auf Konfigurieren.

    4. Aktivieren Sie die Standardaktion.

      Im folgenden Verfahren wird davon ausgegangen, dass die Option Den Status der Zertifikatsanforderung auf "Ausstehend" setzen. Der Administrator muss das Zertifikat explizit ausstellen ausgewählt wurde.

  • So fordern Sie ein clientseitiges Zertifikat an

    1. Starten Sie Internet Explorer, und navigieren Sie zu http://Hostname/CertSrv, wobei Hostname für den Namen des Computers steht, auf dem Microsoft Zertifikatdienste installiert ist.

    2. Klicken Sie auf Zertifikat anfordern und dann auf Weiter.

    3. Klicken Sie auf der Seite Anforderungstyp wählen auf Benutzerzertifikat, und klicken Sie dann auf Weiter.

    4. Klicken Sie auf Senden, um die Anforderung fertig zu stellen.

    5. Schließen Sie Internet Explorer.

  • So stellen Sie das clientseitige Zertifikat aus

    1. Starten Sie das Tool für die Zertifizierungsstelle aus der Programmgruppe Verwaltung.

    2. Erweitern Sie Ihre Zertifizierungsstelle, und wählen Sie den Ordner Ausstehende Anforderungen.

    3. Klicken Sie auf die soeben übermittelte Zertifikatsanforderung, zeigen Sie im Menü Aktion auf Alle Tasks, und klicken Sie auf Ausstellen.

    4. Vergewissern Sie sich, dass das Zertifikat im Ordner Ausgestellte Zertifikate angezeigt wird, und doppelklicken Sie dann darauf, um es anzuzeigen.

    5. Klicken Sie auf der Registerkarte Details auf In Datei kopieren, und speichern Sie das Zertifikat als Base64-codiertes X.509-Zertifikat.

    6. Schließen Sie das Eigenschaftenfenster des Zertifikats.

    7. Schließen Sie das Tool für die Zertifizierungsstelle.

  • So installieren Sie das clientseitige Zertifikat

    1. Starten Sie zum Anzeigen des Zertifikats Windows Explorer, suchen Sie die im vorangegangenen Verfahren gespeicherte CER-Datei, und doppelklicken Sie darauf.

    2. Klicken Sie auf Zertifikat installieren, und klicken Sie dann auf der ersten Seite des Zertifikatsimport-Assistenten auf Weiter.

    3. Wählen Sie Zertifikatspeicher automatisch auswählen (auf dem Zertifikatstyp basierend), und klicken Sie dann auf Weiter.

    4. Klicken Sie auf Fertig stellen, um den Assistenten zu beenden. Schließen Sie die Bestätigungsmeldung, und klicken Sie auf OK, um das Zertifikat zu schließen.

 

Prüfen der Funktion des Clientzertifikats

Mit diesem Verfahren wird sichergestellt, dass Sie unter Verwendung eines Clientzertifikats auf die Anwendung SecureApp zugreifen können.

  • So prüfen Sie die Funktion des Clientzertifikats

    1. Starten Sie Internet Explorer, und navigieren Sie zu https://localhost/SecureApp/WebForm1.aspx.

    2. Vergewissern Sie sich, dass die Webseite ordnungsgemäß angezeigt wird.

 

Weitere Ressourcen

Weitere Informationen finden Sie unter "Vorgehensweise. Einrichten von SSL auf einem Webserver" in diesem Handbuch.