如果我的web服务器有多个证书，浏览器如何选择使用哪个证书？

Question

我使用Apache2.4，有两个证书，一个是由CACert签名的RSA，另一个是ECC自签名的。这两种证书都不提供到受信任的根证书的路径。我的问题是:当为一个网站提供两个不同的证书时，浏览器如何决定使用哪一个证书？

Answer 1

猜猜

我从阅读规范中得到的理解是:浏览器永远不会看到多个服务器证书。相反，密码规范是事先协商好的。只有这样，服务器才会发送证书。

因此，如果协商结束与一个RSA证书认证的密码套件，那么RSA证书链将被发送。如果协商以ECDSA认证的密码套件结束，那么ECDSA证书链将被发送。

标准文件：https://www.rfc-editor.org/rfc/rfc5246#section-7.4.2

7.4.2.服务器证书...该证书必须适合协商密码套件的密钥交换算法和任何协商扩展。

测试

我现在不能测试这个。

最后一次我听说(2013年)SSL-实验室也不能：Qualys论坛:双证书和密钥交换分数