Proteger información en certificados de cliente TLS

Question

Proteger información en certificados de cliente TLS

#1 de gowenfawr (8 votos)

10

Si entendí correctamente, al utilizar TLS con autenticación de cliente, el certificado de cliente se transmite al servidor en texto sin formato. El certificado del cliente puede incluir información personal (como CN=name o X509v3 Subject Alternative Name: email:[email protected] ), que puede usarse para identificar a los usuarios que se conectan a sitios protegidos con https.

¿Hay una manera de transmitir de manera segura el certificado del cliente al servidor cuando se usa la autenticación del cliente TLS, sin exponer información personal?

tls certificates

pregunta twobeers 27.01.2015 - 15:55

fuente

1 respuesta

Lea otras preguntas en las etiquetas tls certificates

.JPEG Cargar shell a través de comentarios EXIF ¿Por qué OWASP recomienda preguntas de seguridad?

score 8 · Accepted Answer

Es posible:

El servidor y el cliente negocian SSL sin requisito de certificado de cliente
Comienzan las comunicaciones cifradas
El servidor envía una solicitud de saludo para solicitar una renegociación, esta encriptada
Si el cliente lo desea, se produce otro apretón de manos
El servidor envía una solicitud de certificado para activar la autenticación del certificado del cliente
El protocolo de enlace (cifrado) continúa normalmente y el certificado del cliente está protegido por TLS.

No sé con qué facilidad puede convencer a las implementaciones de servidores existentes para que lo hagan, pero el protocolo lo permite. Me parece recordar que hay otras razones e implementaciones existentes que desencadenan una renegociación inmediatamente después de que finalice el primer apretón de manos (sin cifrar).

Actualizado para reflejar la corrección de @ dave_thompson_085, consulte también su comentario con respecto a TLS 1.3.