客户端身份验证（1.3.6.1.5.5.7.3.2）服务器证书中的OID

Question

对于我正在进行的项目，我必须生成Web服务器证书。 据我了解，服务器证书应包含服务器身份验证OID（1.3.6.1.5.5.7.3.1）。但是我看到Verisign等知名发行商发布的所有服务器证书都包含客户端身份验证OID（1.3.6.1.5.5.7.3.2）。

我尝试使用只有服务器身份验证OID的证书 - 似乎它工作正常。

问题

• 为什么服务器证书需要客户端身份验证OID？
• 某些遗留支持是否需要它还是有其他原因吗？

Answer 1

两者之间的区别正是它们的描述。

要将证书用作服务器（在连接的接收端），它必须具有服务器扩展密钥用法。

在双向SSL连接中，客户端（在连接的启动端）将证书返回给服务器，它必须具有客户端扩展密钥用法。

如果您从未将证书用作客户端证书，则不需要客户端身份验证OID。

Answer 2

我认为指出客户端和服务器证书之间的主要区别之一是：

1. 服务器证书用于加密和解密数据;
2. 客户端证书代表用户身份。也就是说，向远程服务器证明客户端的身份。