客户证书系统可能存在的性能瓶颈

Question

我的Web应用程序通过preauthentication对用户进行身份验证（每个请求都包含服务器用来验证请求的客户端证书）。

设置：Apache Web服务器，Tomcat应用程序服务器，mod_jk连接器

1. 客户端点击Apache服务器并选择证书
2. SSL握手开始于客户端的浏览器验证服务器的证书，服务器确保客户端的传入证书有效
3. 建立SSL后，服务器将SSL_CLIENT_CERT传递给Tomcat进行身份验证

编辑：

此外，还会根据证书吊销列表（CRL）检查用户的客户端证书。

下载CRL或CRL Delta所需的额外时间，然后检查客户端的证书是否未被撤销可能非常耗时？

Answer 1

当然，但这并不像你想象的那样经常发生。服务器几乎肯定会缓存CRL，并且不会像一小时那样重新获取它，并且由于（1）HTTP keepalive和（2）SSL，因为每个请求发送客户端证书的前提都不正确会话缓存，它可以在服务器上配置的任何时间段内重复使用相同的SSL会话，可能是10-15分钟，也可能是一小时，甚至是一天。