Certificados SSL, autenticação bidirecional e loadbalancers

Question

Estamos procurando implementar a autenticação bidirecional com certificados de cliente para um subconjunto privilegiado de nossos usuários do aplicativo. A ideia é que, se um certificado for detectado, será solicitado ao usuário uma senha / PIN adicional e isso será usado para verificar o certificado e o usuário. Os usuários comuns continuarão se autenticando por meio do mecanismo de login padrão.

Nosso ambiente de produção (hospedado por uma empresa bem conhecida) é composto por servidores de aplicativos com balanceamento de carga e não tenho certeza de como essa configuração lidará com os certificados e não tenho certeza se há alguma armadilha que eu deva estar ciente de. Eu apreciaria muito alguns pensamentos, comentários ou conselhos do mundo real sobre o assunto.

    

Answer 1

A autenticação de certificado de cliente precisa de consideração especial se você estiver usando um balanceador de carga de terminação ssl, já que o balanceador de carga não é capaz de se autenticar no servidor da Web back-end com o certificado do cliente.

O AJP do Java lida bem com isso, pois as informações sobre o certificado do cliente são transmitidas, mas a maioria das implementações de balanceamento / transporte de carga HTTP não tem esse recurso. Dependendo de qual é o software do balanceador de carga (e se você controla esse aspecto do ambiente), talvez consiga desenvolver um mecanismo para fornecer informações sobre o certificado do cliente de volta ao servidor da Web.