ssl - Web 服务器是否需要验证浏览器客户端证书？

Question

我正在为 Web 服务器项目实现 SSL 层。我正在使用 polarSSL，尽管我认为这个问题是一个一般的 SSL 问题。

当我从客户端连接到我的服务器时，我像这样配置 SSL 协议：

ssl_set_endpoint( &mSsl, SSL_IS_SERVER );
ssl_set_authmode( &mSsl, SSL_VERIFY_NONE );

例如，我没有验证来自客户端的连接。我需要这样做吗？

大多数浏览器没有客户端证书 - 尽管有些有（我认为）。服务器验证客户端是否有任何需要或优势？这是一项服务，我很乐意将数据提供给根本没有客户端证书的客户端。

Answer 1

当服务器需要知道其客户端时，使用 SSL/TLS 中的客户端身份验证。例如，它广泛用于银行业务、访问自定义企业服务器等。

相反，通用 Web 服务器旨在为广大受众提供服务，而不关心谁进来。因此，除非您知道自己需要它，否则不会使用客户端身份验证。