Recentemente ho scritto un'applicazione che chiama un servizio di terze parti per eseguire alcuni lavori. Questo servizio di terze parti richiede che autentichi la chiamata del client utilizzando un certificato client. Per questo, ho usato i metodi .NET forniti da C # per eseguire questo (aggiungendo "client.pfx" ai certificati client con la richiesta).
Una delle mie preoccupazioni è che l'API di questa terza parte afferma che dovrei eseguire questa chiamata sicura usando un URI che hanno fornito come parte del loro processo di autenticazione. Per me, questo sembra terribile perché un utente malintenzionato potrebbe fornire URL arbitrari e ricevere le richieste stesse e, a sua volta, i contenuti di client.pfx.
La mia domanda è, come funziona questa autenticazione client (da una sorta di vista generale)? L'intero certificato è inviato come parte della richiesta? È solo una firma della richiesta firmata con la chiave privata in client.pfx? Mi chiedo se la mia preoccupazione sia giustificata.
Grazie!