[IIS 6.0] HTTP 403.16 bij authenticatie eID

[Verwijderd]

Hallo,

Ik heb een webpagina die pas na authenticatie via eID mag worden betreden. Deze pagina staat op een Windows server 2003. Daarop is IIS 6.0 geinstalleerd. voor deze pagina is SSL verplicht en Client certificates zijn vereist.
Wanneer ik surf naar de pagina, wordt mijn pincode gevraagd. Tot hier loopt alles goed. Wanneer deze pin-code wordt ingegeven zou ik normaal op mijn gemaakte pagina moeten uitkomen. Ik krijg echter deze melding:
HTTP Error 403.16 - Forbidden: Client certificate is ill-formed or is not trusted by the Web server.

Belgium Root CA is toegevoegd aan "mijn vertrouwde basiscertificaten voor lokale computer".

Iemand hier ervaring mee

Grtz Tijl

[Verwijderd]

heb je dan ook echt een client cert? En/of is het gehele rootpath van de certificaten op zowel de webserver als de clientserver aanwezig als trusted?

[Verwijderd]

Op de eid zijn certificaten aanwezig.

• Belgium Root CA

• Citizen CA

• Persoonlijk certificate op naam (2 eigenlijk: 1 voor authenticatie en 1 voor digitale handtekening.

Op de server is Belgium Root CA trusted op de server
Citizen CA niet aangezien er zo'n 50 verschillende zijn(http://certs.eid.belgium.be/). De persoonlijke certificaten logischerwijs ook niet.
Wanneer de kaart wordt ingestoken op de client, worden alle certificaten daar automatisch geïnstalleerd.

Ik heb al geprobeerd om met een citizen CA vanop kaart A wel trusted te zetten op de server en dan lukt het wel voor kaart A. Kaart B krijgt dan nog steeds de 403.16 error.


EDIT: Het blijkt dus zo te zijn dat de intermediate CA's(hier Citizen CA) niet meer van automatisch worden gedownload. Zo kan Certificate Chain dus niet geheel worden gevormd.

Iemand die weet of dit ergens in een configfile ofzo kan worden aangezet. Of kan er ingesteld worden dat er maar een deel van de ketting moet worden geverifieerd. Hier zou dit zijn: kijken of de Certificate Chain het Belgium Root CA bevat.

[ Voor 27% gewijzigd door Verwijderd op 24-04-2008 10:28 ]

[Verwijderd]

nee volgens mij kan dat niet. eID zegt mij verder niet zoveel, maar ik begrijp eruit dat je hiervoor zelf geen client certs aanvraagt.

Als je de intermediate servers kent, dan kan je ongetwijfeld scripten om de certs op te halen.