通过 HTTP/HTTPS 进行公钥身份验证或类似身份验证？

Question

是否可以配置 Apache 或其他一些 Web 服务器以使用某种公钥身份验证？

理想情况下，我希望能够让用户无需用户名/密码即可访问网站，前提是他们在浏览器中安装了密钥文件（或类似文件），并且该密钥是“已授权的”在服务器端。

Answer 1

您正在寻找的内容通常称为相互身份验证。通常存在用于“服务器身份验证”的服务器证书，这意味着它向客户端验证服务器的身份。

请注意，在采用此方案时，您还面临客户端证书续订的额外挑战。

以下是如何为一种产品完成的示例：

Answer 2

SSL是公钥认证。最常见的是，它用于验证远程服务器的身份……服务器提供一个证书，由证书颁发机构的私钥签名，您的浏览器根据权威机构的公钥对其进行验证。

也可以使用 SSL 来验证客户端的身份。在这种情况下，您将浏览器配置为在连接到远程服务器时提供客户端证书，并且远程服务器将针对某个权威机构验证该证书。

这一切都相对容易，并且得到了大多数 Web 服务器的良好支持。本文档讨论了使用 Apache 进行设置。该SSLRequire语句做最繁重的这种类型的配置。