为什么客户端和服务器应该有相同的证书链

Question

我正在浏览企业应用程序代码。它基于证书在客户端和服务器之间具有相互认证。

它强制客户端和服务器具有相同的证书链，包括根CA和中间CA。

这提供了什么安全性好处？

如果我们要求在机器上必须信任根证书，这还不够吗？

感谢， Vivekanand

Answer 1

如果这两个证书是由根CA签名，你信任的根CA，那么你不知道。

但是，如果它们中的任何一个都由中间ca签名，那么除了根ca之外，还需要信任中间ca。

在你的例子中，你只提到了两个交换点（服务器/客户端）。在企业中，服务器可能会与其他一些服务器进行交互，其中一些服务器可能由中间约束进行签名。这可以解释信任中级证书背后的推理。

维基百科提供了有关链如何运作 http://en.wikipedia.org/wiki/Intermediate_certificate_authorities

Answer 2

它要求在客户端和服务器具有相同的证书链

不，它不是一个很好的例子。你从哪里得到这个想法？同行必须有足够的其他证书链来验证它们，但是他们自己的证书不必与同行相同。