使用Apache的雙向SSL身份驗證-CA證書

Question

我正在閱讀教程http://www.impetus.us/~rjmooney/projects/misc/clientcertauth.html，其中包含“在Web服務器上安裝CA證書”部分：

<VirtualHost _default_:443>
... 
SSLCACertificateFile /var/www/conf/ssl.crt/ca.crt
...
</VirtualHost>

我想知道為什么我必須在www服務器上添加CA證書，而不生成由CA證書簽名的客戶端或服務器。 CA證書看起來像是通用的，並且每個人都可以使用，因此有人可以登錄CA自己的csr並嘗試登錄我的服務器。

問候

Answer 1

客戶端證書用於標識特定客戶端。 通常，您有多個客戶端，並且每個客戶端都從您的CA獲得自己的證書。 雖然您可以向服務器提供曾經生成的所有客戶端證書（我不知道apache是​​否可行），但僅向服務器提供頒發這些證書的CA並讓服務器驗證客戶端的證書要容易得多。證書由該CA頒發。