问题标签 [ssl-client-authentication]

我想以网站的形式为客户提供云服务。现在我有了一个想法，如果这个客户（几名员工）也使用客户证书对自己进行身份验证，它将极大地提高安全性。然后应将此证书安装在他的办公室计算机和平板电脑上。服务器 SSL 证书是 Letsencrypt 证书。从客户端证书我也会知道私钥，但从我的角度来看，这并不危险，因为它仅用于对我的服务器进行身份验证。

是否有可行的解决方案为客户提供客户端证书，然后我将其公钥存储在我的 HTTP 服务器上？

我可以从身份验证机构购买此类客户端证书吗？我是否理解正确，如果我生成自己的客户端证书，客户也必须信任我的 CA，这会带来安全风险？还是客户只​​能信任这个生成的证书而不信任我的自签名 CA/根 CA？

感谢回答者

因此，我目前正在尝试使用 python SSL 模块创建用于客户端身份验证的系统。我的问题如下：下面的行为我提供了客户端身份验证？

服务器端

客户端

“.CERT_REQUERIED”在这里解释，load_verify_locations在这里。最后一行是因为我的证书使用 id 作为通用名称，而不是 DNS 名称或 IP 地址。

我想要做的是强迫客户向我发送带有签名的证书并将签名与他提供的公钥进行比较，即表明他确实拥有分配给该证书的私钥。

这些线路向我提供了这个？如果没有，如何在python中实现客户端认证？

==编辑== 对于仍然感兴趣的任何人，这里还有一点代码片段（注意：我的实际代码太大，所以我只是发布相关部分）

服务器端

客户端

按照这个链接： https ://developer.jboss.org/docs/DOC-50957

我能够启用客户端身份验证。我不想让所有客户端都拥有从 ca 签名的证书，而只允许特定的一个读取 cn 值。可以通过jboss配置吗？

我正在使用AWS::ElasticLoadBalancingV2::LoadBalancer，我们需要开始使用客户端证书（即 mTLS / 双向 TLS）。我们的 ELB 正在终止 TLS 连接并拥有服务器端证书。

是否可以将 ELB 本身配置为强制执行客户端身份验证（例如，通过给它一个证书）？