Tekst źródłowy strony CSR

CSR to podpisany cyfrowo przez [[Użytkownik|użytkownika]] dokument (plik) zgodny ze standardem [https://en.wikipedia.org/wiki/X.509 X.509], potrzebny do wygenerowania [[Certyfikat|certyfikatu]] dla tego użytkownika, zawierający:
* klucz publiczny użytkownika,
* ID użytkownika,
* nazwę [[Domena certyfikatów|domeny certyfikatów]].

Użytkownik generuje CSR za pomocą wybranego przez siebie oprogramowania (np. [[OpenSSL]], [[WCT]]) oraz własnego klucza prywatnego.

{{Informacja|Po kliknięciu pola ''Żądanie podpisania certyfikatu'' na stronie generowania nowego certyfikatu dla danego użytkownika w <u>[[Adm|panelu administracyjnym]]</u>, pod polem tym pojawia się link ''przykłady generowania CSR'', którego kliknięcie wyświetla dopasowane do danych tego użytkownika polecenia <u>[[OpenSSL|openssl]]</u> i odnośniki do aplikacji <u>[[WCT|WCT]]</u>.}}
CSR stosowane do generowania [[Certyfikat|certyfikatów]] w [[Serwis cybo.pl|serwisie cybo.pl]] muszą spełniać następujące wymagania:
* format [https://pl.wikipedia.org/wiki/Certyfikat_X.509 PEM],
* w przypadku certyfikatu użytkownika pole CN (ang. <i>common name</i>) w temacie (ang. <i>subject</i>) musi zawierać ID użytkownika zakończone znakiem <tt>@</tt> i nazwą [[Domena certyfikatów|domeny certyfikatów]] (np. <tt>439d@demo.cybo.pl</tt>),
* w przypadku certyfikatu aplikacji pole CN (ang. <i>common name</i>) w temacie (ang. <i>subject</i>) musi zawierać identyfikator aplikacji z prefiksem <tt>a_</tt>, zakończony znakiem <tt>@</tt> i nazwą [[Domena certyfikatów|domeny certyfikatów]] (np. <tt>a_its@demo.cybo.pl</tt>),
* klucz publiczny musi być typu RSA 2048, 3072 lub 4096 bit,
* podpis musi prawidłowy i być typu SHA256WithRSA, SHA384WithRSA lub SHA512WithRSA.

Przykłady generowania CSR:
* [[Generowanie CSR za pomocą OpenSSL|za pomocą OpenSSL]],
* [[Generowanie CSR za pomocą WCT|za pomocą WCT]],
* [[Dostęp do serwisu cybo.pl za pomocą YubiKey w systemie Windows|za pomocą klucza sprzętowego YubiKey 5 NFC]].

Wygenerowany przez użytkownika CSR jest przekazywany administratorowi [[Serwis cybo.pl|serwisu]] (lub wprowadzany do [https://www.cybo.pl/zamowienie formularza zamówienia] w przypadku zamawiania usługi cybo.pl) w celu wygenerowania [[Certyfikat|certyfikatu]] dla tego użytkownika.

{{Informacja|'''Przed wygenerowaniem certyfikatu administrator powinien upewnić się, że CSR został utworzony przez właściwego użytkownika aby nie nadać dostępu dla nieupoważnionego użytkownika.''' W celu zabezpieczenia przed wygenerowaniem certyfikatu do CSR podstawionego przez nieupoważnioną osobę, administrator generujący certyfikat może wymagać dodatkowej weryfikacji pochodzenia CSR np. poprzez porównanie w trakcie rozmowy telefonicznej z właścicielem CSR identyfikatora klucza publicznego z tego CSR. Administrator może odczytać ten identyfikator pod treścią CSR na stronie generowania certyfikatu w <u>[[Adm|panelu administracyjnym]]</u> serwisu cybo.pl, natomiast właściciel CSR może odczytać ten identyfikator np. z <u>[[Wyświetlanie identyfikatora klucza z CSR za pomocą OpenSSL|posiadanego pliku CSR]]</u> lub z danych klucza w aplikacji  <u>[[WCT]]</u>.}}
Uwagi:
* Treść klucza prywatnego powinna być znana jedynie użytkownikowi, który jest jego właścicielem.
* W przypadku jeśli CSR zawiera dodatkowe dane względem opisanych powyżej, wtedy dane te są pomijane przy generowaniu [[Certyfikat|certyfikatu do serwisu cybo.pl]].
* Choć istnieje techniczna możliwość generowania różnych certyfikatów w oparciu o ten sam klucz prywatny lub ten sam CSR, to warto przed każdym generowaniem certyfikatu rozważyć wygenerowanie nowego klucza prywatnego i CSR dla tego certyfikatu, szczególnie w przypadku jeśli istnieje ryzyko, że dotychczas używany klucz prywatny został skompromitowany (np. ujawniony osobie nieupoważnionej).

Zobacz też:
*[[Generowanie CSR za pomocą OpenSSL]]
*[[Generowanie CSR za pomocą WCT]]
*[[Certyfikat]]
*[[Konwersja formatu klucza prywatnego i certyfikatu]]
*[https://en.wikipedia.org/wiki/X.509 X.509]

[[Kategoria:Adm]]