He estado leyendo sobre SSL de 2 vías o autenticación mutua recientemente, y esto es lo que he descubierto hasta ahora:
La autenticación mutua es una forma en que el cliente se autentica en el servidor, al igual que el servidor lo hace con el cliente durante las conexiones SSL (de una vía). Los navegadores web están precargados con los certificados de CA conocidas, por lo tanto, cuando un sitio web envía su clave pública (¿algo como un archivo .cer?), El navegador puede usar el certificado de la CA para determinar si este certificado recibido es válido o no. De manera similar, en SSL de 2 vías, el servidor debe tener el certificado de CA del cliente o el certificado autofirmado mediante el cual se generó el certificado del cliente para confirmar si el cliente es auténtico o no.
Las siguientes son algunas preguntas específicas sobre las cuales aún no estoy claro y apreciaría si alguien pudiera verificar mi comprensión:
- El certificado que el servidor envía para SSL de 1 manera solo contiene la clave pública del servidor, ¿verdad? ¿Es esto necesariamente un archivo .cer, o algo así como un archivo .cer?
- Los certificados de CA con los que vienen precargados los navegadores, ¿son como certificados .pfx? ¿Y solo con tener estos certificados es suficiente para que el navegador confirme si el certificado recibido del servidor es válido o no?
- En caso de certificados autofirmados, ¿el servidor necesita tener el certificado autofirmado .pfx a partir del cual se creó el certificado del cliente?
Supongo que de mis preguntas queda claro que ni siquiera estoy seguro de cuándo se usa la clave pública y la clave privada para el cifrado / descifrado, de modo que cuando responda estas preguntas, le agradecería que también pudiera mencione qué claves se usan con qué propósito cuando se usa un certificado específico.