如果客戶端未通過證書，https 連接的安全性如何

Question

我們有一個在 linux 機器上運行的 Web 服務器，我們在 ssl.conf 文件中將“SSLVerifyClient”配置為“require”。

這是否需要使用 Web 瀏覽器（如 firefox 或 chrome）服務的客戶端需要證書。

如果是，那么不可能將客戶端證書分發給每個用戶，因為可能有數千個用戶，如何克服這個問題。

如果不是，那么通過網絡傳遞的數據如何安全？ 我知道證書有助於加密數據，以便沒有證書的人無法讀取數據。

請幫助我澄清我的疑惑

Answer 1

如果不使用客戶端證書，https 連接仍然是安全的：

• 只有客戶端和服務器可以讀/寫內容
• 服務器的身份由證書頒發機構保證

客戶端證書僅在連接開始時為您提供客戶端身份驗證。 為了加密數據，一開始使用服務器的公鑰（參見公鑰加密）。

如果您在登錄/密碼提交后使用設置的 cookie 識別客戶端，它仍然是安全的：您已經識別了客戶端。

Answer 2

當 SSLVerifyClient 設置為 require 時，客戶端必須通過客戶端證書。 您將通過 OpenSSL 生成這些，並使用您通過 SSLCACertificateFile 安裝的證書頒發機構對它們進行簽名。

如何分發這些證書是您必須自己解決的問題。