爲CAC卡身份驗證配置Apache HTTPD的步驟

Question

我已經分配了使網站使用CAC卡身份驗證的任務。我使用Apache httpd web服務器安裝了AWS Linux服務器。 是否有步驟設置Apache以啓用用戶Web瀏覽器讀取其CAC卡，並提示他們的PIN號碼。

Answer 1

嗨CAC身份驗證沒有任何其他PKI身份驗證（可以稱爲相互身份驗證或客戶端身份驗證）不同。 這意味着除了瀏覽器驗證服務器證書（檢查服務器證書是否由受信任的頒發機構頒發）之外，服務器還將要求客戶端提交服務器將驗證的證書。

以下是您將需要的內容：服務器證書，與該證書一起使用的私鑰以及具有根證書和中級證書的信任庫。看看這個文檔以供參考：https://httpd.apache.org/docs/2.4/ssl/ssl_howto.html。

在最簡單的設置你想要一個虛擬主機看起來是這樣的（我沒有測試過這個配置單從上述網站複製它，它可能需要進行調整。）：

<VirtualHost *:443> 
    ServerName www.example.com 
    SSLEngine on 
    # server certificate 
    SSLCertificateFile "/path/to/www.example.com.cert" 
    # private key 
    SSLCertificateKeyFile "/path/to/www.example.com.key" 
    SSLVerifyClient require 
    SSLVerifyDepth 1 
    # trust store 
    SSLCACertificateFile "conf/ssl.crt/ca.crt" 
</VirtualHost> 

正如我所說，這是最基本的設置。這可能足以滿足您的需求，但要使其更加健壯，您需要驗證證書未被撤銷。執行此操作的兩種方法是下載證書吊銷列表（對發佈CAC證書的CA數量不適用）或使用OSCP響應器。我個人還沒有使用HTTPD（僅在Java世界和編程方式）進行吊銷檢查，但上面的文檔中有一節介紹了OCSP。再次，你可能不需要它取決於你的項目。