ssl - 参与 p2p 通信的对等方如何相互验证？

Question

WebRTC 中的对等点如何相互验证？

Answer 1

WebRTC 中的 DTLS 使用自签名证书。RFC 5763有详细信息，简而言之，证书指纹与 SDP 的 a=fingerprint 行中提供的指纹匹配。

Answer 2

正如帕特里克·梅夫泽克（Patrick Mevzek）的评论已经提到的：

如果自签名证书是受信任/接受的，它不依赖于 DTLS 或 TLS。

这仅取决于对等方的受信任证书。如果客户端或服务器的证书路径/链包含证书，该签名可以由受信任的证书验证，则假定它是受信任的。可能有一些额外的检查作为有效时间或密钥使用或主机名。受信任的证书通常存储在“信任库”中。因此，如果您的服务器应该使用这样的自签名证书，请将该自签名证书添加到客户端的信任库中。如果客户端随后仅接收到该自签名证书作为路径，它会检查签名者（在这种情况下是证书本身）是否在信任库中。

此类自签名证书不起作用的是，尚未将该证书添加到其信任库中的其他客户端将信任该服务器。

像 Webrtc 这样的 p2p 系统中的对等点如何相互验证？

如果这些对等点提前将对方的证书添加到他们的信任库中，那么他们将相互信任。

他们需要来自 CA 的证书吗？

如果您无法提前添加对方的证书，那么您需要由 CA（证书）签名的证书，该证书已经在对等方的信任库中。