TLS客户端曾经需要安装证书吗？

Question

在TLS通信中，我一直认为服务器会在握手过程中向客户端发送公共证书。

然而，我收到了一个供应商的请求，要求我们手动安装证书，以便与他们的STunnel服务器发起TLS通信。

我对这个请求有点疑惑。 是否存在TLS服务器无法向客户端发送证书的情况，因此需要手动安装证书？

Answer 1

有两种情况需要在客户端安装证书。

• 服务器使用的证书不是由公共CA签发的，即自签或由私人CA签发。在这种情况下，客户端必须先导入证书或CA，并将其安装为可信。
• 服务器要求客户端基于证书进行认证，即不仅服务器用证书对客户端进行认证，而且客户端对服务器进行认证（代替或附加一般的密码）。在这种情况下，客户端必须获得一个客户端证书和匹配的密钥并导入，这样才能用于认证。

目前还不清楚你所处理的是哪种情况。