Estamos en el proceso de proteger nuestros servidores internos y existe el requisito de utilizar dos factores de autenticación (cliente SSL y certificados de servidor y nombre de usuario y contraseña).
Una duda que me viene a la mente es si, al aplicar la autenticación de múltiples factores, los diferentes factores deben relacionarse entre sí cuando sea posible.
Por ejemplo, si sé que algún sistema cliente tendrá el certificado X y el nombre de usuario Y, debo rechazar una petición que venga con el certificado X y el nombre de usuario Z (que es válido pero estaría asociado con otro sistema que tenga el certificado K) ?
ACTUALIZACIÓN: Como veo que las respuestas actuales hablan sobre usuarios finales (navegadores y tarjetas de certificado), me gustaría enfatizar que la comunicación es entre varios servidores; los usuarios son usuarios de aplicaciones.
He estado navegando a través de los módulos de Apache 1 y no veo ninguna forma directa de implementación, así que no sé si mi idea no es parte de las implementaciones estándar y es un poco demasiado estricta. , o me falta algo.
1 Es cierto que no es mi especialidad.