Có thể định cấu hình Apache hoặc một số máy chủ web khác để sử dụng một số loại xác thực khóa công khai không?
Điều tôi muốn, lý tưởng nhất là có thể cung cấp cho người dùng quyền truy cập vào một trang web mà không cần tên người dùng / mật khẩu, miễn là họ đã cài đặt một keyfile (hoặc tương tự) trong trình duyệt của họ và khóa đó được 'ủy quyền' về phía máy chủ.
Câu trả lời:
Những gì bạn đang tìm kiếm thường được gọi là xác thực lẫn nhau. Thông thường chứng chỉ máy chủ tồn tại cho "xác thực máy chủ", có nghĩa là nó xác nhận danh tính của máy chủ cho máy khách.
Lưu ý rằng khi theo đuổi chương trình này, bạn có thêm một thách thức về gia hạn chứng chỉ cho khách hàng.
Dưới đây là một ví dụ về cách nó được thực hiện cho một sản phẩm:
SSL là xác thực khóa công khai. Thông thường nhất nó được sử dụng để xác thực danh tính của máy chủ từ xa ... máy chủ xuất trình chứng chỉ, được ký bởi khóa riêng của cơ quan cấp chứng chỉ và trình duyệt của bạn xác minh nó dựa trên khóa công khai của chính quyền.
Cũng có thể sử dụng SSL để xác thực danh tính của khách hàng. Trong trường hợp này, bạn định cấu hình trình duyệt của mình để xuất trình chứng chỉ ứng dụng khách khi nó kết nối với máy chủ từ xa và máy chủ từ xa sẽ xác thực chứng chỉ chống lại một số cơ quan có thẩm quyền.
Đây là tất cả tương đối dễ dàng và được hỗ trợ tốt bởi hầu hết các máy chủ web. Tài liệu này thảo luận về việc thiết lập mọi thứ với Apache. Các SSLRequire tuyên bố thực hiện hầu hết các nâng nặng cho loại cấu hình này.