Взаимная аутентификация TLS: проверка сертификата клиента

Question

Я не уверен, что нам достаточно просто проверить сертификат клиента, потому что, если кто-то украл сертификат, он может выдать себя за другого, как мы проверяем клиента?Нужно ли клиенту подписывать какое-либо сообщение своим закрытым ключом, отправлять вместе с клиентским сертификатом, а на стороне сервера получать открытый ключ из сертификата, чтобы проверить сообщение, чтобы подтвердить, что он является владельцем сертификата?

Answer 1

Когда сервер проверяет сертификат клиента, он заставляет клиента доказать, что сертификат принадлежит им, выполняя операцию с соответствующим закрытым ключом.Закрытый ключ не является частью сертификата, поэтому его кража не позволяет выдавать себя за пользователя.