收到有效的客户证书能证明什么吗？

Question

我读过 this kb article 描述了如何使用 http 请求发送证书，以及 and this one 描述了服务器如何验证证书。但是，我是否正确，这 没有 验证发件人实际上是证书的所有者？我认为建立所有权，必须进行进一步的交换，服务器将要求客户端使用其（客户端的）私钥加密某些内容，然后服务器将使用证书提供的公钥对其进行解密.这类似于 ssl 握手的一部分。

我要澄清的是，简单地发送带有请求的证书并不能证明任何有关客户端身份的信息，因为它可能被中间人攻击欺骗或破坏。对吧？

Answer 1

没有。我远非 .Net 专家，但我的理解是这篇文章解释了如何使用证书在 SSL 连接中对客户端进行身份验证。正如您所说，在 SSL 握手期间，当服务器请求客户端证书时，客户端会签署一些数据，服务器会执行该签名的验证，以证明证书持有者拥有私钥。请注意，该文章还包含一个“要求”部分，指定必须允许应用程序访问私钥。