如何使用没有密码的证书

Question

我有一个使用数字证书类2来下载某些文件的应用程序。我知道这不是一个好主意，但应用程序会自动处理密码输入。

现在一个新客户想要这个应用程序，但是他们不想给我密码，因为他们害怕我能用他们的证书+密码做任何事情。

我有什么方法可以：

• 使用证书下载文件而无需知道密码。

或

• 获取第二张证书，只允许我从某个URL下载文件。

非常感谢有关这些主题的任何帮助！

Answer 1

  

使用证书下载文件而无需知道密码。

不可能。密码用于加密私人密钥资料。由于您不知道密码，因此您不知道私钥，也无法使用证书进行身份验证。

但请注意，密码的密度比密钥少得多。如果您的客户没有想到一个好的密码，那么用蛮力来猜测它可能相对容易。 This site声称您每天可以进行大约3000万次密码尝试。然后，假设密码具有28个字节的熵（即2 ^ 28个组合），您可以在一到两周内猜出密码。

  

获取第二张证书，只允许我从某个网址下载文件。

问题的这一部分取决于服务器接受哪些证书......