apache 客户端身份验证 - 将客户端证书的指纹设置为 header 值

Question

我有一个有效的 SSL 客户端身份验证设置。有没有办法在将请求转发到另一个应用程序时获取客户端证书指纹并将其放入请求 header 中？

根据: http://httpd.apache.org/docs/current/mod/mod_ssl.html

没有什么像:

RequestHeader set SSL_CLIENT_X_FINGERPRINT "%{SSL_CLIENT_X_FINGERPRINT}s" 

感谢任何帮助

马塞尔

Answer 1

您可以做的最接近的事情是传递整个证书 (SSL_CLIENT_CERT) 并在它到达您的应用程序后计算指纹。

根据它的实现方式，这应该不会太难。例如，如果需要，您可以实现一个 Filter 以在 Java servlet 环境中执行此操作:解码 PEM 编码的证书以获取 DER 格式，将您获取的 byte[] 数组传递给 MessageDigest 使用您需要的算法初始化(可能对结果进行十六进制编码)。

请注意，“指纹”是一个相当宽松的词。现在大多数工具都会使用 SHA-1，但情况并非总是如此(而且这种情况可能会改变)。

作为旁注，您尝试做的事情表明您没有使用传统的 PKI 进行身份验证，而是接受潜在的自签名证书(或由未知 CA 签名的证书)并将这些指纹与您的列表进行比较知道。如果是这种情况，您可能对所有这些的“X.509 证书”方面不太感兴趣，但您只是将此证书用作公钥容器(为此 SSL/TLS 将保证您客户端具有匹配的私钥)，因此您可能会发现比较公钥比比较证书更灵活。