使用Apache的双向SSL身份验证-CA证书

Question

我正在阅读教程http://www.impetus.us/~rjmooney/projects/misc/clientcertauth.html，其中包含“在Web服务器上安装CA证书”部分：

<VirtualHost _default_:443>
... 
SSLCACertificateFile /var/www/conf/ssl.crt/ca.crt
...
</VirtualHost>

我想知道为什么我必须在www服务器上添加CA证书，而不生成由CA证书签名的客户端或服务器。 CA证书看起来像是通用的，并且每个人都可以使用，因此有人可以登录CA自己的csr并尝试登录我的服务器。

问候

Answer 1

客户端证书用于标识特定客户端。 通常，您有多个客户端，并且每个客户端都从您的CA获得自己的证书。 虽然您可以向服务器提供曾经生成的所有客户端证书（我不知道apache是​​否可行），但仅向服务器提供颁发这些证书的CA并让服务器验证客户端的证书要容易得多。证书由该CA颁发。