Какова цель промежуточных ЦС в Hyperledger Fabric - PullRequest
0 голосов
/ 11 июня 2019

Справочная информация:

Fabric Документация говорит, что MSP может иметь папку с промежуточными центрами сертификации (ICA), как показано ниже.

enter image description here

Вопрос:

Для чего нужна эта папка?Из того, что я понимаю, каждый сертификат ICA подписан сертификатом корневого CA, и сертификат корневого CA добавляется в конфигурацию MSP.Таким образом, кажется, что даже если у MSP фабрики нет папки с ICA, у нее все равно есть средства для проверки входящего запроса (потому что у него есть корневой сертификат).

Я могу предположить, что наличие ICA может использоваться не для проверки, нодля некоторой конфигурации и предоставления разных ролей удостоверениям, подписанным разными ICA, но для меня неясно, как именно это можно использовать.

Документация:

Здесь связаночасть документации Hyperledger Fabric:

Промежуточные ЦС: В этой папке содержится список сертификатов X.509 промежуточных ЦС, которым доверяет эта организация.Каждый сертификат должен быть подписан одним из корневых ЦС в MSP или промежуточным ЦС, чья цепочка выдающих ЦС в конечном итоге ведет обратно к доверенному корневому ЦС.

Промежуточный ЦС может представлять другое подразделение организации (как ORG1-MANUFACTURING и ORG1-DISTRIBUTION для ORG1), так и самой организации (как может быть в случае, если коммерческий ЦС используется для управления идентификацией организации).В последнем случае промежуточные CA могут использоваться для представления подразделений организации.Здесь вы можете найти больше информации о лучших методах настройки MSP.Обратите внимание, что возможно иметь работающую сеть, в которой нет промежуточного ЦС, и в этом случае эта папка будет пустой.

Как и папка корневого ЦС, эта папка определяет ЦС, из которых должны быть получены сертификаты.выдан для рассмотрения членами организации.

1 Ответ

1 голос
/ 11 июня 2019

Одной из основных причин, по которой я могу подумать о настройке промежуточного ЦС, является защита вашего корня доверия. Вашей организации или подорганизации может быть выдан сертификат, удостоверяющий личность, который вы хотите дорого защитить. Таким образом, вы можете надежно защитить его, получив / создав один или несколько промежуточных сертификатов и настроив соответствующие центры сертификации, чтобы ваш корневой сертификат мог оставаться в безопасной зоне (скажем, DMZ), и вы можете получить преимущества проверки и подписания, используя ваше промежуточное соединение. сертификаты и CA. Проверка все равно останется незатронутой, поскольку ваши промежуточные сертификаты и центры сертификации будут связаны с единым корнем доверия от того места, где оно было выдано.

...