如果在TLS中没有发送CertificateVerify，会发生什么？

Question

我知道在TLS中，客户端会向服务器发送一条CertificateVerify消息，以通过CA等手段确认客户端的身份，但是如果客户端从未发送此信息怎么办？

攻击者是否有可能利用这一机会通过数据包嗅探劫持客户端会话，并创建自己的“主前秘密”来与服务器通信？

Answer 1

客户端证书一开始就不涉及预主秘密的创建。这意味着你的威胁方案是不可能的。在TLS握手中完全不使用客户端证书，而只使用服务器证书，这也很常见，也就是说，在许多情况下，TLS握手中甚至没有使用任何CertificateVerify。