ssl - mTLS(双向 TLS)详细信息

Question

我知道对于 MTLS ，双方，客户端和服务器交换证书。这些证书应由双方都可以信任的 CA 签名，以验证证书。

我的问题是，MTLS 是否也意味着除了验证证书(如果 CA 是可信的，叶证书是可信的)，任何一方(服务器或客户端)也可以做一些额外的检查，比如主机名检查或客户端是否连接服务器是否在批准的可信实体列表中？

谁能告诉我 mTLS 规范以及 mTLS 中的开销是多少？

Answer 1

除了 EJP 所说的“MTLS”术语，TLS 1.2 specification对于要检查哪些信息以及以何种方式进行检查没有严格的要求。

由接收方决定所提供的证书是否可信。这意味着服务器可以只接受属于拥有该服务器的公司的 CA 颁发的证书。这就是客户银行访问系统通常的工作方式——它们只接受银行颁发的证书，并且此类证书的通用名称必须与 Web 表单中提供的用户名相对应。

双方都可以自由检查证书中的任何信息，包括直接比较公钥哈希值(因此无论其他证书属性中包含什么，只有特定的 key 对才有效)。