验证什么客户端身份验证证书发送到服务器？

Question

在浏览器中或通过某种工具查看在请求中发送给服务器的SSL证书（客户端身份验证）时有没有办法？

Answer 1

我会从Burp Suite（免费版）开始。这对于很多事情来说是个不错的代理。

Answer 2

如果您的服务器在初始握手期间协商客户端证书（无需重新协商），您应该能够使用Wireshark查看它：您应该看到来自客户端（不是来自服务器的消息）的Certificate消息，在服务器发送的Certificate Request消息之后。

如果使用重新协商，这将更加复杂。

SSL MITM工具（如Fiddler）不会有任何帮助，因为他们执行自己的握手。通过让客户信任他们的虚假服务器证书（用户通常可以在客户端上设置的信任设置），可以配置这些工具来欺骗客户相信他们是真正的服务器。但是，这在使用客户端证书时不起作用，除非执行握手的工具（本例中为SSL MITM工具）正在处理客户端证书本身。否则，结束时的验证消息（服务器用于验证客户端是否拥有客户端证书的私钥）将会失败。其中一些工具确实可以配置客户端证书，但您需要使用相应的私钥来设置它们：在这种情况下，您将知道使用了哪个客户端证书。

另一种检查方法是检查浏览器本身的功能。如何做到这一点可能取决于浏览器。使用Firefox时，环境变量如SSLDEBUG可能会引起您的兴趣。