☰

Konfigurieren der gegenseitigen SSL-Authentifizierung (bidirektional)

tag-icon • tag-icon linux authentication certificates
Konfigurieren der gegenseitigen SSL-Authentifizierung (bidirektional)

Ich wurde gebeten, die „SSL-gegenseitige (bidirektionale) Authentifizierung konfigurieren“ auszuführen, und ich weiß nicht, wo ich anfangen oder wie ich es testen soll.
Server und viele Clients. Sie können nur dann auf Code auf dem Server zugreifen, wenn sie ein signiertes Zertifikat vom Server haben. Und der Server kann diese Zertifikate generieren und deaktivieren Hierein Tutorial, aber ich habe solche Angst, die Verbindung zum Server, an dem ich arbeite, zu verlieren, weil es der Hauptserver ist, wenn ich neue Schlüssel neu generiere.
Muss ich ein Root-Benutzer sein?
Gibt es dafür irgendeine Bash-Version?
Ich wäre für jede Information dankbar.

Antwort1

Mit Standard-/üblichem HTTPS können Sie die Identität des Servers anhand einer gemeinsamen vertrauenswürdigen Stammzertifizierungsstelle ermitteln. Durch Importieren eines SSL-Zertifikats eines Clients in den Browser (der als für die Authentifizierung aktiviert markiert ist) verwenden Sie SSL-Zertifikate zur Durchführung der Client-Authentifizierung. Das Endergebnis ist, dass der Client-Browser den Server über HTTPS authentifiziert und der Server den Client über die Authentifizierungszertifikate des Clients authentifiziert.

Dieses Tutorialbeschreibt den Vorgang der Konfiguration von Apache für die Client-SSL-Authentifizierung/-Verifizierung, was der einzige ungewöhnliche Teil des Vorgangs ist. Es handelt sich lediglich um einen Satz von 3 oder 4 Anweisungen, die der Konfiguration des virtuellen Hosts hinzugefügt werden.

Als Beispiel (vom Sprung geklaut) können Sie Folgendes in Ihre <VirtualHost>Konfiguration aufnehmen:

<Location /cert>
   SSLRequireSSL
   SSLVerifyClient require
   SSLVerifyDepth 10
</Location>

Dies zwingt Apache dazu, für alle darunterliegenden URLs eine SSL-Authentifizierung zu verlangen /cert(in diesem Fall bis zu zehn signierenden CAs zurückreichend). Sie können dann verwendenSSLCAZertifikatsdateiin der Vhost-Konfiguration, um zu ändern, welche CAs Sie zum Signieren akzeptieren.

verwandte Informationen