使用自签名证书的设备身份验证

Question

我正在寻找设备身份验证的地方

1. 我想确保对我的Web服务\网站（托管在Google App Engine上）的所有呼叫仅来自使用设备证书的授权设备。

2. 每台设备将具有无法转移到其他设备的唯一证书。

3. 可以随时吊销设备证书。

为实现上述目的，我计划有另一个服务，该服务将向被批准使用我的服务的设备颁发证书。我将通过电子邮件将证书颁发给用户，用户将在此手动安装证书。我的用户将使用浏览器访问我的服务。

但是我不确定如何达到第2点和第3点。 您可以指导如何使用自签名证书吗？

Answer 1

  

  
1. 我想确保对我的Web服务\网站（托管在Google App Engine上）的所有呼叫仅来自使用设备证书的授权设备。
  

您可以将SSL通道用于客户端身份验证，也可以在邮件中添加数字签名

  

  
1. 每台设备将具有唯一的证书，该证书无法转移到其他设备。
  

不可能使用软件证书来确保这一点。如果您通过电子邮件分发它们，则用户可以将它们安装在多个设备中。

您可以使用硬件令牌（nfc /蓝牙）或将证书预安装在Android / iOS KeyChain中，以使其无法提取。但这使分布非常复杂。

  

  
1. 可以随时吊销设备证书。
  

在接受来自客户端的请求之前，先在服务器端检查吊销。有标准协议可以执行此操作（OCSP，CRL），或者使用自定义机制，因为您可以自行发布