Что за выдумки? Легитимными сертификаты могу считаться только в случае корректного взаимодействия с "registration authority". А пока такое "корректное взаимодействие" возможно только в случае личного визита владельца сертификата, с паспортом и другими документами.

Подозреваю, что задумывается как бы по-проще "срубить бабла" на выпуске сертификатов. Вот здесь один "красаучик" уже такое предложил. Почитайте его статью и комментарии к ней.

Разве ТС желает именно этого? А как же его высказывание:

Так что тут идёт речь именно про удалённую идентификацию без визита в УЦ. Так что мои подозрения крайне обоснованы. Кстати, у ТС пока нет возражений по моим подозрениям.

По его цитате то что скажете?

Ну хорошо, давайте тогда зайдём с другой стороны. Предположим, что я ошибся и буквально оскорбил автора темы в его лучших чувствах. Давайте тогда я "во искупление" попытаюсь придумать варианты решения той проблемы, которые, как вы думаете, он хочет решить, а именно:

То есть пользователь уже пришёл в УЦ, уже показал документы, его уже зарегистрировали (записали его адрес почты, телефон, сохранили скан его паспорта и других подтверждающих документов) и вот тут пользователю прямо нужно сгенерировать сертификат на его рабочем месте. Возможное решение: пользователь генерирует запрос на сертификат, посылает запрос каким-то секретным образом (через линк с парольным входом или через свой e-mail), УЦ проверяет запрос на соответствие данных, УЦ изготавливает сертификат, компонует PKCS#12 и присылает его на уже известную почту пользователя. Пароль почтой слать "не секьюрно", так что можно послать посредством SMS. Схема с изъянами, однако прошу заметить здесь нигде нет даже намёка на "видеосвязь с паспортом". Ну никак её тут приткнуть нельзя, так как скан паспорта в УЦ уже есть и связь между паспортом и самим пользователем установлена.

Предположим я всё-таки прав и автор хочет "срубить бабла" на "супер-пупер новом способе получения сертификатов через Интернет" и удалённая генерация как-раз рассматривается в этом ключе. Какая первая идея приходит тут на ум? Конечно "видеосвязь с паспортом"!

Насчет "автор разъяснит Вам" - автор уже в эту тему несколько раз заходил и что-то от него так и нет ответа. Так что пока читатели данной темы, и я в частности, будут самостоятельно выдвигать свои подозрения и высказывать к ним обоснования. Думаю, что от автора темы опровержения моих подозрений будут отсутствовать.

Отредактировано пользователем 30 октября 2015 г. 13:10:16(UTC)  | Причина: Не указана

Юрий,
а зачем PKCS#12 (.pfx) для передачи сертификата? Чтобы запустился мастер импорта? (закрытого ключа на УЦ же нет).

Почему нельзя передать сам сертификат (файл.cer),
в zip с паролем или по разовой ссылке и т.п. (т.е. защищенно\достоверно)?
И установку сертификата (файл.cer) доверить штатной процедуре импорта в СКЗИ.