Modo sicuro per passare il certificato client al client2

Non vuoi generare un certificato client per il tuo cliente. Ciò significherebbe che hai la chiave privata per le loro comunicazioni. Questa è una cattiva pratica.

1. Hai una buona idea. Si desidera generare un certificato CA di root per il proprio server principale. Il cliente dovrebbe quindi generare un certificato CA intermedio per il proprio server. Inviano questo certificato CA intermedio all'utente tramite una Certificate Signing Request (CSR) , e firmerai il certificato con il tuo certificato CA radice. Il link precedente è solo a scopo informativo, non sto pubblicizzando il loro prodotto. Questo certificato firmato verrebbe quindi rispedito al cliente per l'uso.

2. Una CSR è un formato che contiene tutte le informazioni necessarie per firmare il certificato fornito. Non contiene la chiave privata del certificato. Questa risposta e i commenti spiegano che un modulo in una pagina Web per l'invio è ragionevole perché non vengono trasmessi dati privati. Ciò ti darà anche la possibilità di raccogliere altre informazioni necessarie per verificare il cliente al fine di elaborare il CSR. Una volta elaborato il CSR è possibile inviare il certificato tramite lo stesso mezzo, via e-mail o qualunque altro metodo si scelga. Non sono state aggiunte informazioni private dopo aver firmato il loro certificato.

3. Sì, OpenSSL fornisce tutte le funzionalità necessarie per configurarlo. Esistono diversi esempi di configurazioni PKI su Tutorial PKI OpenSSL . Ecco un'altra grande passeggiata per la creazione di PKI (PDF) . Ora questi esempi vanno oltre lo scopo di ciò che state facendo, ma vi forniranno la piena comprensione di ciò che deve accadere affinché le autorità di certificazione funzionino.

Ecco un bella spiegazione di come le cose si incastrano tutte insieme a un livello superiore.