Voglio assicurarmi che la mia webapp sia protetta:
Ho un server tomcat e ho definito il connettore per usare clientAuth="true". Nel mio negozio fiduciario c'è solo il certificato della mia CA (autofirmato).
Sul client: ha installato un certificato emesso dalla CA.
Come ho avvertito in una domanda precedente che ho fatto, Voglio assicurarmi che:
- Il server tomcat - ottiene il certificato del client - si assicura che sia firmato dalla CA e quindi - autentica il client utilizzando la chiave pubblica nel certificato del client - per assicurarsi che il client possa decodificare realmente i dati.
e non:
- Il server tomcat - ottiene il certificato del client - si assicura che sia firmato dalla CA e quindi avvia la comunicazione senza verificare che il mittente del certificato sia realmente il proprietario delle chiavi private ad esso associate
Quindi - l'opzione 1 o 2 è vera?
Grazie