客户端证书在https连接中进行加密吗？

Question

在Https中，在握手和创建对称密钥时使用非对称加密(带有服务器证书)。我说对了吗?在这种情况下，客户端证书没有加密吗？服务器只是检查它是否信任该客户端证书，仅此而已？

Answer 1

所执行的操作与服务器身份验证类似，但有以下差异。

在发送消息ServerKeyExchange之后，服务器向客户端指示它希望通过CertificateRequest消息对客户机进行身份验证；然后客户机发送其证书。TLS握手操作是正常执行的，但是在发送ClientKeyExchange消息之后，客户端发送一个包含前一个握手消息签名的CertificateVerify消息。然后，服务器和客户端从交换的随机数中计算一个值，然后PreMasterSecret和客户端发送一个ChangeCipherSpec，并且在没有客户端身份验证的情况下操作继续进行。

如您所见，服务器检查客户端是否拥有私钥，而不仅仅是信任客户端证书。