Use o certificado do cliente Apache SSL para identificar um cliente para um servidor enquanto restringe o cliente de copiar o certificado SSL

Question

Eu quero usar certificados SSL para identificar um cliente em um servidor Apache. O cliente executa o Firefox no CentOS 7 em um laptop que eu empresto. A conexão de rede do cliente usa o NAT para que vários clientes apareçam no servidor da Web como tendo o mesmo IP. Apenas o laptop que eu empresto deve ser capaz de acessar o servidor. Eu li a documentação sobre certificados de cliente SSL e isso parece fácil de configurar. No entanto, não quero que o usuário possa copiar o certificado da instalação do Firefox para seu próprio laptop. Parece-me que, se o Firefox puder ler o certificado, o usuário também poderá copiá-lo. O usuário também tem acesso ao shell no laptop porque está usando o laptop para escrever um teste.

    

Answer 1

O que você diz é verdade, se um cliente pode ler um arquivo, ele também pode copiá-lo. Você pode tornar isso mais difícil, mas eles geralmente são apenas medidas de intervalo.

Se você quiser torná-lo realmente seguro, pode emitir o cliente com um cartão inteligente. O smartcard é projetado para manter uma chave privada e nunca permitir que essa chave privada deixe o smartcard (ou seja copiada). Você também pode armazenar uma chave privada no chip TPM que pode estar no laptop (o TPM é como um cartão inteligente, mas integrado ao computador). Isso tornará quase impossível copiar.