x509 클라이언트 인증서 유효성 확인

Question

저는 스프링 보안을 사용하여 로그인 페이지를 작성하고 있습니다. 이 페이지는 사용자가 사용자 이름과 암호 대신 인증서를 사용할 수있는 옵션을 제공해야합니다. 그러나 다음과 같은 시나리오에 갇혀 있습니다 :

브라우저에 설치된 XYZ 회사의 인증서가 있다고 가정 해보십시오. 이제 서버 (신뢰할 수있는 XYZ)는 인증서의 유효성을 검사하려고했지만 질문은 다음과 같습니다.

Q1. 브라우저가 "브라우저에 하나 이상의 인증서가 설치되어 있다고 가정 할 때"올바른 인증서 "를 제공하기 위해 브라우저가 어떻게 요청할 수 있습니까?

2. 사용자가 로그인 페이지에서 단추를 클릭 할 때만 인증서를 보낼 수있는 단추가있을 수 있습니까?

3. 서버가 인증서를 받았다고 말하면, 서버가 "네, 인증서 체인 (XYZ 회사가 서명 함)을 조사하여 자신이 누구라고 말했는지 증명할 수 있습니까?"라고 말할 수 있습니까?

감사, 보안 초보자 :

Answer 1

이 가능에서

. 필요한 클라이언트 인증서가있는 SSL 사이트를 설정하기 만하면됩니다. 브라우저는 기본적으로 내부 인증서 저장소를 제공합니다. 즉, os의 사용자 인증서 저장소를 보여줍니다. ssl 연결에서 클라이언트 인증서 요구 사항을 설정하는 방법에 대해서는 서버 프레임 워크 문서를 참조하십시오.

q2의 경우 앱과 인증 제공자라는 두 개의 웹 사이트가있을 수 있습니다. 응용 프로그램에 버튼이 표시되고 클라이언트 인증서가 필요한 인증 공급자로 리디렉션됩니다. 그런 다음 인증 공급자는 모든 sso 프로토콜 (oauth2, saml)을 사용하여 사용자 ID를 응용 프로그램에 반환합니다.

인증서 유효성 확인과 관련하여 체인의 유효성을 검사하거나 서버 측 사용자 이름과 인증서 엄지 손가락 사이에 매핑을 지정할 수 있습니다.