Autenticazione chiave con ssl

SSL / TLS supporta l'autenticazione del client con una coppia di chiavi asimmetriche. Poiché si tratta di SSL, assume la forma di un certificato client . Il server richiede un certificato durante l'handshake iniziale, indicando quale CA radice verrà utilizzata dal server per convalidare tale certificato; il client quindi invia un certificato al server. Questo naturalmente richiede al cliente di avere un certificato da inviare.

Soliti client (browser) e server supportano questa funzionalità. Ciò che il server fa con il certificato dipende interamente da esso. In un mondo Microsoft Active Directory + IIS, il certificato client, una volta convalidato, è mappato in un account tramite uno dei vari meccanismi (il certificato stesso è già collegato all'account nel server AD o il nome dell'account viene trovato come "Nome principale utente" nel certificato client).

@Rook parla di TLS con SRP , che è qualcosa di completamente diverso: con SRP, client e certificato autenticati l'un l'altro con un segreto condiviso (una password). Non c'è più alcun certificato, non nel client e nemmeno nel server. Questo non ha equivalenti in SSH (c'era una patch per SSH, ma non è molto curato, non si adatta bene ai nomi degli account e all'autenticazione in quanto sono solitamente gestiti nei sistemi operativi). Solitamente i client e il server SSL non supportano SRP (ma ciò potrebbe avvenire in futuro).