Supongamos que tiene un servicio SSL mutuo, que además del SSL, tiene autenticación de la aplicación. Por lo tanto, los clientes proporcionan certificados (así como servidores), pero la solicitud del cliente (por ejemplo, solicitud REST) también contiene un nombre de usuario/contraseña con el que se autentica el servidor de la aplicación de fondo.Mutual SSL: ¿cuánta autenticación es suficiente?
En términos del "grado" de autenticación del cliente, parece que hay varios niveles. Un nivel (a) es simplemente para que el cliente proporcione un certificado firmado por una CA que se encuentra en la tienda CA del servidor. Otro nivel obvio (b) es que el servidor afore (a) además de garantizar que las credenciales de la aplicación sean correctas. Un tercer nivel (c) es hacer (a) y (b) además de garantizar que el certificado del cliente esté asociado de manera única con la cuenta.
El beneficio de (c) es que impide que alguien a quien una "CA confiable" pueda abusar de una contraseña de la aplicación obtenida ilegalmente.
Me doy cuenta de que esto es muy poco probable, pero me pregunto hasta qué punto (c) se supone que es parte de SSL mutuo, frente a simplemente (a) o (b)?
Necesita las tres, y necesita un cuarto paso completo: * autorización, * es decir, ¿este usuario está autorizado para acceder a esta parte de la aplicación? – EJP