ssl - 双向 SSL 说明

Question

我对双向 SSL 的工作原理有些困惑。客户端如何创建其证书以发送到服务器？它是由服务器生成并分发给客户端的吗？

另外，双向 SSL 相对于单向 SSL 的优势是什么？

Answer 1

两个证书都应该在连接之前存在。它们通常由证书颁发机构创建(不一定相同)。 (在其他情况下，可以采用不同的方式进行验证，但将需要进行一些验证。)

服务器证书应由客户端信任的 CA 创建(并遵循 RFC 6125 中定义的命名约定)。

客户端证书应由服务器信任的 CA 创建。

由每一方选择它所信任的。

有一些在线 CA 工具可让您在浏览器中申请证书，并在 CA 颁发证书后将其安装在那里。它们不需要位于请求客户端证书身份验证的服务器上。

证书分发和信任管理是公钥基础设施 (PKI) 的职责，通过 CA 实现。 SSL/TLS 客户端和服务器，然后只是该 PKI 的用户。

当客户端连接到请求客户端证书身份验证的服务器时，服务器会发送它愿意接受的 CA 列表作为客户端证书请求的一部分。然后客户端可以发送其客户端证书，如果它愿意并且有合适的证书可用的话。

客户端证书认证的主要优点是:

• 私有(private)信息(私钥)永远不会发送到服务器。客户端在身份验证期间根本不会泄露其 secret 。
• 不认识拥有该证书的用户的服务器仍然可以对该用户进行身份验证，前提是它信任颁发证书的 CA(并且该证书有效)。这与护照的使用方式非常相似:您可能从未见过向您出示护照的人，但由于您信任签发机构，您可以将身份与此人联系起来。

您可能对 Advantages of client certificates for client authentication? (on Security.SE) 感兴趣.