Требует ли клиент TLS установки сертификата?

Question

В связи TLS я всегда думал, что сервер отправит сертификат publi c клиенту во время процесса рукопожатия.

Однако я получил запрос от провайдера с просьбой установить сертификат вручную. чтобы инициировать связь TLS с одним из их STunnel-серверов.

Я немного смущен этим запросом. Есть ли ситуация, когда TLS-сервер не сможет отправить сертификат клиенту и поэтому требует установки сертификата вручную?

Answer 1

В двух случаях требуется установка сертификата на стороне клиента:

• Сервер использует сертификат, не выпущенный общедоступным c CA, то есть самоподписанный или выданный частный CA. В этом случае клиент должен импортировать сертификат или CA заранее и установить его как доверенный.
• Сервер требует аутентификации клиента на основе сертификатов, т.е. не только сервер аутентифицирует клиента с помощью сертификата, но и клиент к серверу (вместо или дополнительно к типичным паролям). В этом случае клиент должен получить сертификат клиента и соответствующий ключ и импортировать его, чтобы его можно было использовать для аутентификации.

Неясно, с каким из этих случаев вы имеете дело.