如何發送特定於客戶端的可信證書頒發機構，以確定用戶可以在asp.net網站表單站點上使用的客戶端證書

Question

我想創建一個使用ssl客戶端證書的asp.net Web窗體應用程序。 我的理解方式（可能是錯誤的）是，在ssl握手過程中，服務器向客戶端發送了受信任的證書頒發機構列表。 然后，客戶端使用此列表查看它也信任哪個CA，然后Web瀏覽器詢問用戶要使用哪個客戶端證書（如果匹配的CA大於1）。

有沒有一種方法可以將代碼添加到ASP.NET Web應用程序，以便僅將1個特定的CA發送為受信任的CA？ 我認為服務器將具有許多受信任的流行CA，並將它們全部發送出去。 但我只想發送一個特定的給客戶。

Answer 1

客戶證書的協商發生在ASP.Net參與請求之前。 該配置通過證書信任列表位於HTTP.sys偵聽器上。

但是， IIS 5、6和7將忽略此行為，並且在Windows 8/2012和更高版本中默認情況下已禁用此行為。