与客户端证书的Apache“SSLSessionCacheTimeout”

登录到我的Web应用程序后，用户需要使用X.509证书进行身份验证。与客户端证书的Apache“SSLSessionCacheTimeout”

一段时间不活动后，用户将尝试继续使用该网站。此时，将尝试新的会话，但会失败。它由于重新认证没有发生而失败。

如果我将Apache的SSLSessionCacheTimeout增加到8小时，那么客户端在创建会话期间不再需要重新进行身份验证？

注 - 假定需要在为Apache SSLSessionCacheTimeout设置的8小时内创建新会话。

编辑或者，SSL会话是否不会影响HTTPS会话？

2013-05-03 Kevin Meredith

SSL会话重新协商不应该对应用程序级会话产生任何影响。关于“用户需要使用X.509认证进行身份验证”的含义，您可以更具体一些吗？“会尝试创建一个新的会话，但会失败，因为没有发生重认证“。？ – 2013-05-03 13:11:38

用户首次登录到Web应用程序|从智能卡选择证书|自定义的Spring Security代码提取必要的LDAP凭证|最终可以访问网络应用程序。但是，如果用户的会话过期，则无法创建新的会话（可能是因为不重新验证），并且Web应用程序崩溃。我很好奇，通过将Apache字段设置为更高的值，是否可以通过更高的值验证新会话，因为它可能会使用客户端证书。 – 2013-05-03 14:09:33

问题是，浏览器会自动重发X.509证书，以防服务器（未找到客户端发送的sessionID匹配）请求新会话。因此，除了在应用程序级别发生的情况之外，在SSLSessionCacheTimeout之后发生的新TLS会话创建应与第一个TLS会话创建不同。请注意，如果客户端和服务器使用rfc5077“无服务器端状态的会话恢复”，则不适用此选项。 – 2013-05-03 15:04:37

查看Apache SSL文档http://www.apache-ssl.org/docs.html 根据文档查找“SSLSessionCacheTimeout”，增加此设置的值应该可以工作。

来源

2013-05-13 10:57:45 lyaffe

你读过评论吗？ *当然，*增加SSL会话超时将增加SSL会话超时，但在问题中没有证据表明这是实际问题，并且有许多理由不会过度延长SSL会话，从安全问题和资源使用开始。 – EJP 2013-05-13 12:31:11

明白了，我错过了5月7日以后的更多评论。 – lyaffe 2013-05-15 07:48:00

我不知道，但这解决了我的问题，当用户从VPN访问网站的某些时候，他们能够访问网站，增加了这一点，并没有人抱怨，因此。 – maco1717 2017-04-12 14:32:59

与客户端证书的Apache“SSLSessionCacheTimeout”

回答

相关问题