我可以在 apache 中同时使用 RSA 和 ECC 证书吗？

Question

如果我简单地使用“SSLCertificateFile”和“SSLCertificateKeyFile”两次，则第一个证书链将被破坏。

我可以同时使用由不同中间 CA 证书颁发的 RSA 和 ECC 证书吗？

==================

更新：OpenSSL 1.0.2 解决了这个问题。只需使用“SSLCertificateFile”和“SSLCertificateKeyFile”两次。请注意，“SSLCertificateFile”应该是整个证书链。

Answer 1

这是否可行取决于 Apache 版本和 OpenSSL 版本。

使用不同的中间证书在 Apache 上并行运行 ECC 和 RSA 证书需要 Apache 2.4.8+ 和 OpenSSL 1.0.2+。

sslcertificatefile自 Apache 2.4.8 起，该条目添加了对中间体的支持。自版本 1.0.2 起，OpenSSL 添加了基于每个证书加载中间体的功能。

这些文件还可能包括从叶到根排序的中间 CA 证书。2.4.8 及更高版本支持此功能，并废弃 SSLCertificateChainFile。当使用 OpenSSL 1.0.2 或更高版本运行时，这允许在每个证书的基础上配置中间 CA 链。

来源：http ://httpd.apache.org/docs/2.4/mod/mod_ssl.html#sslcertificatefile

尽管早期版本的 Apache 支持多个sslcertificatefile条目，但它不会从这些条目加载中间体，并且SSLCertificateChainFile只能使用一次。因此，在早期版本中，您仍然可以并行运行 ECC/RSA/DSA 证书，但它们必须全部使用相同的中间体。

但请注意：仅当您使用基于 RSA 或 DSA 的单个服务器证书时，提供证书链才有效。如果您使用耦合的 RSA+DSA 证书对，则仅当两个证书实际上使用相同的证书链时这才有效。否则浏览器在这种情况下会感到困惑。

来源：http ://httpd.apache.org/docs/2.4/mod/mod_ssl.html#SSLCertificateChainFile