ssl - Web 服务器是否需要验证浏览器客户端证书？

Question

我正在为网络服务器项目实现 SSL 层。我正在使用 polarSSL，但我认为这个问题是一个一般的 SSL 问题。

当我从客户端连接到我的服务器时，我会像这样配置 SSL 协议(protocol):

ssl_set_endpoint( &mSsl, SSL_IS_SERVER );
ssl_set_authmode( &mSsl, SSL_VERIFY_NONE );

例如我没有验证来自客户端的连接。我需要这样做吗？

大多数浏览器没有客户端证书——尽管有些浏览器有(我认为)。服务器验证客户端是否有任何必要或优势？这是一项服务，我很乐意将数据提供给根本没有客户端证书的客户端。

Answer 1

当服务器需要了解其客户端时，使用 SSL/TLS 中的客户端身份验证。例如，它广泛用于银行业、访问自定义公司服务器等。

相反，通用 Web 服务器旨在为广泛的受众提供服务，而不关心谁进来了。因此，除非您知道自己需要，否则不会使用客户端身份验证。