https://opennet.ru/openforum/vsluhforumID9/9074.html Заранее извиняюсь, если вопросы будут наивными - я немного не в теме, только-только влезаю...<br>Опишу ситуацию для понимания:<br><br>есть три стороны - владелицы ключей:<br>- "клиент"<br>- "сервер"<br>- "посредник"<br><br>Публичный GPG-ключ "клиента" подписан "посредником". "Сервер" имеет абсолютное доверие к публичному ключу "посредника", но не имеет в своём keyring (кольце ключей?) ключа "клиента".<br><br>"Сервер" проинициализировал GnuTLS (своими private/public ключи и keyring), повис на сокете и ждёт соединений.<br><br>"Клиент" также проинициализировал GnuTLS (своими private/public ключами без keyring) и соединяется к "серверу".<br><br>Теперь вопрос: как указать "серверу" проверять ключи подписантов на этапе установления соединения? То есть, чтобы такой подписанный "посредником" ключ был валидным, а неподписанные или подписанные другими посредниками (не "свои") ключи были бы невалидными и отвергались бы сервером?<br><br>Расширенный вопрос: ключ "посредника" подписан ключом "посредник-2". Ключа "посредника" нет у сервера, но есть ключ https://opennet.ru/openforum/vsluhforumID9/9074.html#2 Sat, 26 Mar 2011 20:07:26 GMT &gt; Расширенный вопрос: ключ "посредника" подписан ключом "посредник-2". Ключа "посредника" <br>&gt; нет у сервера, но есть ключ "посредника-2" с абсолютным доверием... Короче, <br>&gt; как сделать аналог X509-инфраструктуры, но с возможностью мультиподписей?<br><br>вот как я понял ваш вопрос:<br>рассмотрим пошагово 2 случая. первый с одним AS, второй с двумя AS.<br>терминология: К-клиент, С-сервер, AS1-"посредник1", AS2-"посредник-2", + -какое-то преобразование.<br><br>случай первый:<br>1)K---Kкл---&gt;AS1<br>2)AS1---Kas1_pub---&gt;K<br>3)AS1---Kas1_prv---&gt;C<br>4)K---(Kкл+Kas1_pub)---&gt;C<br><br>т.е. Кas1_prv = Kкл + Kas1_pub<br><br>случай второй:<br>1)K---Kкл---&gt;AS1<br>2)AS1---Kas1_prv---&gt;AS2<br>3)AS2---Kas2_pub---&gt;AS1<br>4)AS1---Kas2_pub---&gt;K<br>5)AS2---Kas2_prv---&gt;C<br>6)K---(Kкл+Kas2_pub)---&gt;С<br><br>т.е. Kas2_prv = Kкл + Kas2_pub, кароче тоже самое. только Ккл нужно как то встроить в диалог общения между AS`ми.<br><br>вроде всё просто (: опять же Kerberos должен уметь такое.<br> https://opennet.ru/openforum/vsluhforumID9/9074.html#1 Sat, 26 Mar 2011 19:05:08 GMT &gt; есть три стороны - владелицы ключей: <br>&gt; - "клиент" <br>&gt; - "сервер" <br>&gt; - "посредник" <br><br>мб стоит заменить "посредник" на "сервер аутентификации"(т.е. AS, см. ниже)?<br><br>&gt;[оверквотинг удален]<br>&gt; к публичному ключу "посредника", но не имеет в своём keyring (кольце <br>&gt; ключей?) ключа "клиента".<br>&gt; "Сервер" проинициализировал GnuTLS (своими private/public ключи и keyring), повис на сокете <br>&gt; и ждёт соединений.<br>&gt; "Клиент" также проинициализировал GnuTLS (своими private/public ключами без keyring) <br>&gt; и соединяется к "серверу".<br>&gt; Теперь вопрос: как указать "серверу" проверять ключи подписантов на этапе установления <br>&gt; соединения? То есть, чтобы такой подписанный "посредником" ключ был валидным, а <br>&gt; неподписанные или подписанные другими посредниками (не "свои") ключи были бы невалидными <br>&gt; и отвергались бы сервером?<br><br>описанное похоже на разграничение AS в Kerberos v5.<br><br>&gt; Расширенный вопрос: ключ "посредника" подписан ключом "посредник-2". Ключа "посредника" <br>&gt; нет у сервера, но есть ключ "посредника-2"