ssl - 使用服务器端证书进行客户端身份验证

Question

假设我有一个包含网络浏览器和两台服务器的场景:第一台服务器 (web) 面向互联网，第二台 (worker) 是内部服务器. web 内部使用 worker，但是来自外部的每个请求都由 web 接收。

所以你总是有:

browser -> web -> worker

现在我想使用 SSL 保护两个连接:

• web 应使用浏览器可以验证的服务器端证书。
• worker 应使用 web 可以验证的服务器端证书。
• web 应使用客户端 (!) 证书 worker 可以验证。

在这种情况下:是否可以将 web 的服务器端证书重新用作 worker 的客户端证书，还是使用两个更好个人证书？

有什么我应该注意的最佳做法吗？

Answer 1

这里有两个方面:安全方面和“技术”方面。

技术方面是服务器端和客户端证书的证书KeyUsage和ExtKeyUsage扩展是不同的。 worker 将检查这些扩展的值(value)并提示。除非您在工作人员上实现自定义验证器(在这种情况下，您想要的任何证书都可以使用)，否则会发生这种情况。

安全方面是，如果私钥因任何原因泄露，拥有不同的证书(以及私钥)在一定程度上增加了安全性。