如果客户端未通过证书，https 连接的安全性如何

Question

我们有一个在 linux 机器上运行的 Web 服务器，我们在 ssl.conf 文件中将“SSLVerifyClient”配置为“require”。

这是否需要使用 Web 浏览器（如 firefox 或 chrome）服务的客户端需要证书。

如果是，那么不可能将客户端证书分发给每个用户，因为可能有数千个用户，如何克服这个问题。

如果不是，那么通过网络传递的数据如何安全？ 我知道证书有助于加密数据，以便没有证书的人无法读取数据。

请帮助我澄清我的疑惑

Answer 1

如果不使用客户端证书，https 连接仍然是安全的：

• 只有客户端和服务器可以读/写内容
• 服务器的身份由证书颁发机构保证

客户端证书仅在连接开始时为您提供客户端身份验证。 为了加密数据，一开始使用服务器的公钥（参见公钥加密）。

如果您在登录/密码提交后使用设置的 cookie 识别客户端，它仍然是安全的：您已经识别了客户端。

Answer 2

当 SSLVerifyClient 设置为 require 时，客户端必须通过客户端证书。 您将通过 OpenSSL 生成这些，并使用您通过 SSLCACertificateFile 安装的证书颁发机构对它们进行签名。

如何分发这些证书是您必须自己解决的问题。