ssl - 智能卡如何用于客户端证书身份验证？

Question

我正在尝试了解客户端证书身份验证如何与智能卡一起工作。

我读过有关配置 Apache 以使用证书对用户进行身份验证的内容。网上有很多教程，比如APACHE web server and SSL authentication来自 LinuxConfig。

据我了解，导入证书后，任何可以访问计算机的人都可以启动浏览器并使用它。因此，在多个用户共享同一个帐户的情况下(或者攻击者可以物理访问计算机并能够登录)，无法明确地对用户进行身份验证。为了避免这样的问题，当一个帐户被共享时，我可以尝试不在浏览器中存储证书。

现在有几种内置证书的USB token，可以用来对网站进行客户端证书认证。以下是我对此类设备的疑问:

• 通过将证书作为物理设备导入，浏览器是否允许我在导入时使用证书？
• 如果证书有 PIN 会怎样？浏览器每次启动时都会要求输入 PIN 码吗？
• 我可以确定不能从 token /智能卡读卡器中提取证书吗？因此，除非 token 被盗，否则我是否可以确定证书无法被克隆？

Answer 1

by importing the certificate as a physical device, will the browser let me use the certificate as I imported it?

是的。但是，与软件 token 相比，您可能会发现使用硬件 token 时的延迟更高(例如，智能卡需要 2-3 秒)。

what happens if the certificate has a pin? Does the browser ask for the pin every time it is launched?

默认情况下，例如如果您连接到启用了 HTTPS 客户端身份验证的网页，Firefox 只会尝试访问客户端证书。然后将要求输入 PIN。通常，只要不删除 token ，就不再需要 PIN，但该行为可能会有所不同，具体取决于使用的 PKCS#11 模块(将 Firefox 与 token 连接的软件)。

can I be sure that the certificate cannot be extracted frmo the token/smart card reader? Therefore, unless the token is stolen, can I be sure that the certificate cannot be cloned?

然后就看token了。有些可能有用于提取私钥的 API，但通常您只能从 token 中使用或删除私钥 + 证书。