相互SSL - 认证足够多少？

Question

假设您有一个相互SSL服务,除了SSL之外,它还具有应用程序身份验证.因此,客户端提供证书(以及服务器),但客户端请求(例如,REST请求)还包含后端应用程序服务器验证的用户名/密码.

就客户端身份验证的"程度"而言,似乎有多个级别.一个级别(a)仅用于客户端提供由服务器CA存储中的CA签名的证书.另一个明显的级别(b)是服务器为了(a)加上确保应用程序凭证是正确的.第三级(c)是做(a)和(b)加上确保客户端证书与帐户唯一关联.

(c)的好处是它可以防止被"可信CA"信任的人滥用非法获得的应用程序密码.

我意识到这一切都不太可能,但我想知道(c)假设是什么程度的相互SSL,而不是简单的(a)或(b)？

Answer 1

是的，我正在考虑类似的事情。

您可以做的一件事是为您的应用程序提供一个不包含任何 CA 的单独信任库。这样您就可以只向具有您授权的自签名证书的客户端授予访问权限。