Estoy creando un punto final de API que recibe la carga útil de un tercero. El tercero está firmando la solicitud con el certificado X509 (clave privada). He recibido su certificado público. ¿Cómo verifico que la solicitud entrante tenga una firma válida con el certificado público que tengo a través de Apache?
He intentado algunas de las cosas que no funcionan:
- Mantuve SSLVerifyClient require junto con SSLVerifyDepth 10 en la configuración de Apache httpd, y luego mantuve su certificado de cliente en la Tienda de confianza.
- Mantuve SSLOptions + ExportCertData y verifiqué SSL_CLIENT_CERT Variable de entorno al final de la aplicación si obtengo el Certificado de cliente en la Solicitud que estoy recibiendo. Aunque la variable de entorno no tiene ningún certificado en ella.
¿Cómo puedo verificar la solicitud firmada? Guíeme si estoy mirando en una dirección equivocada para verificar la Solicitud.