====== 5.3 Avtentikacija s certifikatom ======

Identifikacija odjemalca preko PQ certifikatov.

===== Glavni certifikat =====

Razvijalski certifikat izda notranja CA.

<code bash>
# Zahteva za certifikat
openssl req -new -newkey ml-dsa-65 -keyout dev.key -out dev.csr

# Pošlji CSR na CA
# Po odobritvi: prejmi dev.crt
</code>

===== Uporaba certifikata =====

<code bash>
# API klic s certifikatom odjemalca
curl --cert dev.crt --key dev.key \
     https://gateway.intern:443/api/v1/dsn/demo/tables
</code>

===== V aplikacijah =====

<code csharp>
var handler = new HttpClientHandler();
handler.ClientCertificates.Add(
    new X509Certificate2("dev.pfx", "password"));

var client = new HttpClient(handler);
var response = await client.GetAsync("https://gateway.intern/api/v1/dsn/demo/tables");
</code>

===== Validacija certifikata =====

Strežnik preveri:

  - Ali je certifikat veljaven (ni potekel)?
  - Ali ga je podpisala naša CA?
  - Ali ni preklican (CRL/OCSP)?
  - Ali ima zahtevane razširitve?

===== PQ-Crypto knjižnica =====

Za programsko ustvarjanje in upravljanje PQ certifikatov glejte knjižnico **WvdS.System.Security.Cryptography**:

  * [[..:..:..:..:..:pqcrypt:developer:beispiele:start|Razvijalski primeri (CSR, PKI)]]
  * [[..:..:..:..:..:pqcrypt:api:wvds-system-security-cryptography:x509certificates:start|X509Certificates API]]
  * [[..:..:..:..:..:pqcrypt:api:wvds-system-security-cryptography:x509certificates:certificaterequestextensions|CertificateRequest Extensions]]