x509身份验证的“选择客户端证书”对话框

Question

我有一个用Java Spring写的应用程序运行在Wildfly 10上。我已经使用我的RootCA和客户端证书设置了基本的x509身份验证。

基于客户端的证书CN，我可以处理多个用户角色。

我想实现的是如何动态选择应该使用的客户端证书。访问https时会显示一个对话框（这是一个系统对话框——来自火狐）。但是这个对话框只显示一次，即使注销后，对话框也不会再次显示，最后一个客户端证书会自动选择。

即使当我取消选择“记住此决定”时，此证书也会被再次选择。

这里拒绝上传截图，所以有url：https://imgur.com/a/PklHR

Answer 1

TL；DR：（目前）没有硬性的方法从服务器端强制使用新客户端证书进行重新身份验证，但是，在大多数情况下，用户可以手动完成。

正如我之前列出的错误中提到的，这种行为是由于火狐浏览器和Chrome记住了SSL状态，其中包括用于身份验证的任何客户端证书。用户可以通过重新启动浏览器或清除活动登录名来手动清除此缓存。虽然仍然没有方法可以远程触发浏览器的SSL缓存的清除，但有几种创造性的方法来解决此问题。

强制浏览器再次请求客户端证书的一种方法是强制TLS重新协商，这将涉及再次交换TLSClient Hello和Server Hello消息。例如，当用户请求需要客户端证书的资源时，Apache使用TLS重新协商来“升级”连接。

由于我不熟悉Spring框架，我不知道在您的具体情况下如何完成，但是，我相当确定它可以在Java完成。您可以查看Hello Request消息上的TLS 1.2 RFC部分，它会提示客户端以Client Hello消息进行响应，从而有效地重新启动握手。

但是，此时，如果客户端已经使用证书进行身份验证，则浏览器仍会记住并发送它。服务器可能能够通过修剪其在证书请求消息的“certificate_authorities”部分中发送的已接受 CA 列表来强制客户端提供不同的证书。如果您要使用的新证书是由与旧证书相同的 CA 颁发的，这显然将不起作用。

我还见过这样的情况，如果再次提供相同的证书，使用自定义逻辑使SSL连接失败，但这并不能解决浏览器的证书内存问题。如上所述，它只是防止用户再次使用该站点，直到重新启动或清除活动登录。希望有帮助。