使用 php_curl 转发 SSL 客户端证书

Question

我有以下设置：

有 2 台服务器需要 SSL 客户端证书。 该证书用于身份验证。

用户（使用他的浏览器）将使用他的客户端证书向 Server1 发出请求。 到目前为止，一切都很好。 现在，我想做的是： Server1 将向 Server2 发出请求，解析该响应，然后将其返回给用户。

Server1 使用 php_curl 执行请求。 我希望 Server1 将（用户的）原始客户端证书传递给 Server2 （它将验证用户，..）。然后，Server1“代表”用户发布消息。

这可能吗？

Apache 已启用 ExportCertData SSLOption。 我已经尝试将以下标头添加到curl选项中（认为这与使用客户端证书的Apache代理设置大致相同）：

$headers[] = "SSL_CLIENT_S_DN: ".$_SERVER['SSL_CLIENT_S_DN'];
$headers[] = "SSL_CLIENT_I_DN: ".$_SERVER['SSL_CLIENT_I_DN'];
$headers[] = "SSL_SERVER_S_DN_OU: ".$_SERVER['SSL_SERVER_S_DN_OU'];
$headers[] = "SSL_CLIENT_VERIFY: ".$_SERVER['SSL_CLIENT_VERIFY'];
$headers[] = "SSL_CLIENT_V_START: ".$_SERVER['SSL_CLIENT_V_START'];
$headers[] = "SSL_CLIENT_V_END: ".$_SERVER['SSL_CLIENT_V_END'];
$headers[] = "SSL_CLIENT_M_VERSION: ".$_SERVER['SSL_CLIENT_M_VERSION'];
$headers[] = "SSL_CLIENT_M_SERIAL: ".$_SERVER['SSL_CLIENT_M_SERIAL'];
$headers[] = "SSL_CLIENT_CERT: ".$_SERVER['SSL_CLIENT_CERT'];
$headers[] = "SSL_CLIENT_VERIFY: ".$_SERVER['SSL_CLIENT_VERIFY'];
$headers[] = "SSL_SERVER_M_VERSION: ".$_SERVER['SSL_SERVER_M_VERSION'];
$headers[] = "SSL_SERVER_I_DN: ".$_SERVER['SSL_SERVER_I_DN'];
$headers[] = "SSL_SERVER_CERT: ".$_SERVER['SSL_SERVER_CERT'];

但没有运气。

Answer 1

除非您手头有带有密钥等的证书，否则您无法使用原始客户端证书传递请求。这就是 SSL 的工作原理。

如果您正在运行两台服务器，您可以在 Server1 上验证客户端证书，并通过自定义标头或您认为最适合的方式在 Server2 上传递经过验证的信息。

如果您不负责第二个服务器，那么您就不走运了，因为让 MITM 攻击变得简单并不是 SSL 创建者的意图之一。