chave e certificado openSSL

Question

Até onde eu sei, em uma conexão SSL autenticada, tanto o cliente quanto o servidor possuem chaves privadas e fornecem seus certificados (com as chaves públicas correspondentes) através da conexão antes de estabelecer a conexão segura.

No entanto, estou um pouco confuso, pois há uma conectividade openSSL normal com esses certificados e chaves sendo usados no servidor e no cliente, mas se a chave do cliente / chave pública gerada pelo comando openssl é criada por CA diferente da chave privada do servidor então a conectividade não deve acontecer, mas não está acontecendo no experimento que tentei com o openSSL.

Não é inesperado? É normal ter diferentes conjuntos de chaves no lado do cliente e do servidor por CA diferente? O openSSL gera um par de chaves instantaneamente para cada sessão e não depende do cliente? Alguém tem alguma idéia de como essas chaves / certificados funcionam no servidor e no clento, e essas chaves e certificados têm algum tipo de relação / dependência entre eles?

    

Answer 1

Não há exigência para o caminho de certificação para que a autenticação do servidor e a autenticação do cliente sejam as mesmas.

Tudo o que precisa acontecer para a autenticação do servidor é que o servidor apresenta um certificado (junto com quaisquer certificados de CA subordinados / intermediários) que se vincula a uma âncora de confiança (na prática, um certificado CA raiz armazenado no armazenamento confiável do cliente) as relações de confiança cliente . O cliente agora confia no servidor.

Da mesma forma, para a autenticação do cliente, o cliente deve apresentar um certificado (junto com qualquer certificado de autoridade de certificação subordinado / intermediário) que vincula uma âncora de confiança (novamente, um certificado de autoridade de certificação raiz) que o > servidor confia. O servidor agora confia no cliente.

As duas âncoras de confiança não precisam ser as mesmas, elas meramente precisam ser confiadas pela parte relevante.