用于身份验证和签名的证书

Question

我有一个客户端服务器场景。

我有厚客户端和瘦客户端（浏览器），它们与我的服务器进行通信。

我的胖客户端使用X-509系统证书进行客户端证书身份验证，并与服务器通信

此外，此证书用于生成签名URL（带过期时间），以便我的瘦客户机与服务器通信，用于完整性和授权目的。在这种情况下，我也有一个基于令牌的方法用于身份验证。

现在，我想使用客户端凭据或基于身份验证代码将身份验证机制移动到基于OAuth的流。

我知道身份验证和授权可以转移到基于OAuth的通信。但是我如何将基于签名（数字签名）的用例从基于证书转移到OAuth呢？

我认为除了使用基于证书的PKI机制进行数字签名之外，没有其他方法。除了证书之外，还可以分发私钥和公钥吗？

最好的问候，

索拉夫

Answer 1

除了证书之外，还可以分发私钥和公钥吗？

您可以使用openssl（命令行-openssl.exe）或任何加密库或加密设备的CSP生成密钥对。您可以使用一个软件来生成公钥和私钥，并在需要时共享公钥，安全地存储私钥，而不是分发它。但是问题仍然是用户如何安全地存储私钥，还有像PFX这样的证书存储格式，它受密码保护（使用您提供的密码加密），或者将私钥存储在智能卡或usb令牌中，这些都是加密设备。您可以对这些设备进行编程，以生成我们自己的密钥，而不一定存储CA颁发的证书。

对于基于浏览器的用户私钥访问，您可能需要使用浏览器扩展。从浏览器访问用户密钥进行身份验证时，请参考此SO答案。