客户端计算机上的SSL服务器端证书？

Question

有一个带有WCF客户端的服务器，该服务器通过客户端计算机上安装的许多WCF服务定期启动Internet上的通信。 WCF服务和WCF客户端托管在Windows Service中，当前绑定为basicHttpBinding。

通信必须通过具有相互认证的https进行。 公司订购了SSL证书，但尚不清楚是否可以在不公开私钥的情况下将该证书安装在客户端计算机上（因为存在WCF服务）。 绑定可以是basicHttpBinding或wcHttpBinding，具有传输或消息安全性，但可以使用证书。

是否可以在客户端计算机上安装服务端证书，并在我们的服务器上安装客户端证书？ 应该重新构造此体系结构，以便WCF服务位于我们的服务器上，还是可以某种方式保护此当前解决方案？

Answer 1

每台涉及的计算机都需要自己的证书。 用于身份验证的证书值取决于私钥的唯一性 。 私钥永远不会离开主机，并且可以使用证书对所述机器进行身份验证（因为这是世界上唯一拥有该私钥的计算机）。 一旦开始分发私钥的副本，安全性就会受到很大损害。

通常，此类部署依赖于PKI基础结构，该基础结构可以按需创建证书并使用受信任的密钥对其进行签名。

证书使用的产品/协议无关紧要。 您使用哪种WCF HTTP绑定就不重要了。