双向SSL澄清

Question

对于双向SSL是如何工作的，我有些困惑。客户端如何创建要发送到服务器的证书？是否从服务器生成并分发到客户端？

另外，与单向SSL相比，双向SSL的优势是什么？

Answer 1

这两个证书在连接之前都应该存在。它们通常由证书颁发机构创建（不一定相同）。（在其他情况下，可以以不同的方式进行验证，但需要进行一些验证。）

服务器证书应该由客户端信任的CA创建（并遵循RFC6125中定义的命名约定）。

客户端证书应由服务器信任的CA创建。

这取决于每一方选择它所信任的东西。

在线CA工具允许您在浏览器中申请证书，并在CA颁发证书后将其安装在浏览器中。它们不需要位于请求客户端证书身份验证的服务器上。

证书分发和信任管理是通过CAS实现的公钥基础设施(PKI)的角色。SSL/TLS客户端和服务器，然后仅仅是该PKI的用户。

当客户端连接到请求客户端证书身份验证的服务器时，服务器发送一个它愿意接受的CAs列表，作为客户端证书请求的一部分。然后，客户端可以发送其客户端证书，如果它愿意的话，并且有一个合适的证书可用。

客户端证书身份验证的主要优点是：

• 私有信息（私钥）从不发送到服务器。在身份验证过程中，客户端根本不会泄露其秘密。
• 不知道具有该证书的用户的服务器仍然可以对该用户进行身份验证，前提是它信任颁发该证书的CA（并且该证书是有效的）。这与护照的使用方式非常相似：您可能从未见过向您出示护照的人，但由于您信任签发当局，您可以将身份与此人联系起来。

您可能对用于客户端身份验证的客户端证书的优点感兴趣？（关于security.se）。