Сертификаты
24 сентября 2026
ID 331027
Для обеспечения безопасного взаимодействия между сервером Kaspersky Password Manager для бизнеса и клиентскими приложениями Kaspersky Password Manager для бизнеса требуются следующие типы сертификатов:
- Сертификат сервера (PFX)
Зашифрованный контейнер, содержащий цифровой сертификат и его закрытый ключ (с аутентификацией сервера), который устанавливается во время настройки сервера Kaspersky Password Manager для бизнеса и используется для безопасного соединения между сервером Kaspersky Password Manager для бизнеса, клиентскими приложениями Kaspersky Password Manager для бизнеса и Сервером администрирования (Kaspersky Security Center).
- Открытый сертификат сервера (PEM/CER/DER)
Сертификат сервера (с аутентификацией сервера), который импортируется в Kaspersky Security Center Web Console во время настройки подключения и используется клиентами Kaspersky Password Manager для бизнеса для подключения к серверу Kaspersky Password Manager для бизнеса. Сертификат содержит открытый ключ сервера.
- Сертификат аутентификации администратора (PFX)
Зашифрованный контейнер, содержащий цифровой сертификат и его закрытый ключ (с аутентификацией клиента), необходимый для аутентификации администратора в Kaspersky Security Center Web Console для доступа к странице администрирования Kaspersky Password Manager для бизнеса.
- Открытый сертификат аутентификации администратора (PEM/CER/DER)
Cертификат сервера (с аутентификацией клиента), который загружается на сервер во время настройки сервера Kaspersky Password Manager для бизнеса. Сертификат содержит открытый ключ сервера.
Обычно сертификаты предоставляются IT-службой организации. Если предварительно выданные сертификаты отсутствуют, вы можете создать их вручную.
Требования к сертификатам
Поддерживаемые типы сертификатов
Kaspersky Password Manager для бизнеса поддерживает как цепочки сертификатов, так и самоподписанные сертификаты.
Поддерживаемые алгоритмы открытого ключа
- RSA
- ECDSA
- DSA
Поддерживаемые алгоритмы хеширования
- SHA-256
- SHA-384
Обязательные поля для Сертификата сервера
Сертификат сервера должен содержать следующие поля:
- Distinguished Name (DN)
- Либо DNS, либо SPN
При использовании аутентификации Kerberos адрес сервера, указанный в клиентском приложении, должен совпадать с SPN. В противном случае аутентификация Kerberos завершится неудачей.
- Key Usage (KU):
- KeyEncipherment (32)
- DigitalSignature (128)
- Enhanced Key Usage (EKU): 1.3.6.1.5.5.7.3.1 (аутентификация сервера)
- Subject Alternative Name (SAN)
Поле SAN должно содержать полное доменное имя (FQDN) или IP-адрес (при использовании аутентификации без Kerberos) узла, на котором установлен сервер Kaspersky Password Manager для бизнеса.
Обязательные поля для Cертификата аутентификации администратора
Сертификат аутентификации администратора должен содержать следующие поля:
- Distinguished Name (DN)
- Либо DNS, либо SPN
При использовании аутентификации Kerberos адрес сервера, указанный в клиентском приложении, должен совпадать с SPN. В противном случае аутентификация Kerberos завершится неудачей.
- Key Usage (KU):
- KeyEncipherment (32)
- DigitalSignature (128)
- Enhanced Key Usage (EKU): 1.3.6.1.5.5.7.3.2 (аутентификация клиента)
- Subject Alternative Name (SAN)
Поле SAN должно содержать полное доменное имя (FQDN) или IP-адрес (при использовании аутентификации без Kerberos) узла, на котором установлен сервер Kaspersky Password Manager для бизнеса.
Рекомендуется включать в Enhanced Key Usage (EKU) как аутентификацию клиента, так и аутентификацию сервера.
Можно ли использовать один и тот же набор сертификатов как для сервера Kaspersky Password Manager для бизнеса, так и для веб-плагина Kaspersky Password Manager для бизнеса?
Да, один и тот же набор сертификатов можно использовать как для сервера Kaspersky Password Manager для бизнеса, так и для веб-плагина Kaspersky Password Manager для бизнеса. Однако для повышения безопасности мы рекомендуем использовать отдельные наборы сертификатов для каждого из них.
Как создать сертификаты для Kaspersky Password Manager для бизнеса
Создание сертификатов с помощью OpenSSL
Ниже приведены примеры использования утилиты OpenSSL для создания сертификатов для работы Kaspersky Password Manager для бизнеса. Подробную информацию об использовании утилиты см. в документации OpenSSL.
При генерации PFX контейнера с использованием последних версий OpenSSL следует помнить, что OpenSSL по умолчанию может использовать современные схемы шифрования для PFX-контейнеров (например, PBES2). Эти схемы шифрования поддерживаются не всеми версиями Windows. В результате сервер Kaspersky Password Manager для бизнеса может не загрузить PFX-контейнер, даже если указан правильный пароль.
Если при использовании самостоятельно сгенерированного сертификата возникают ошибки загрузки сертификата, перегенерируйте PFX контейнер в режиме совместимости, используя команду -legacy, например: .\openssl.exe pkcs12 -export -legacy -out certificate.pfx -inkey private.key -in certificate.cer
Для Windows:
Как создать сертификаты для сервера
Как создать сертификаты аутентификации администратора
Как создать PFX контейнер используя PowerShell
Для Linux:
