Возможная производительность узкого места в системе Client-Cert

Question

Мое веб-приложение проверяет подлинность пользователей с помощью предварительной аутентификации (каждый запрос включает сертификат на стороне клиента, который сервер использует для аутентификации запроса).

Установка: веб-сервер Apache, сервер приложений Tomcat, разъем mod_jk

1. Клиент попадает сервер Apache и выбирает сертификат
2. SSL рукопожатия начинается там, где браузер клиента проверяет сертификат сервера, а сервер гарантирует, что passed- клиента в сертификате действует
3. После SSL установлен, сервер передает SSL_CLIENT_CERT на Tomcat для проверки подлинности

EDIT:

Кроме того, сертификат клиента клиента проверяется на Список отзыва сертификатов (CRL).

Дополнительное время, необходимое для загрузки CRL или CRL Delta, а затем проверить, что сертификат клиента не был отозван, вероятно, потребует много времени?

Answer 1

Конечно, но это происходит не так часто, как вы думаете. Сервер почти наверняка кэширует CRL и не восстанавливает его на некоторый интервал, как час, и ваша посылка о том, что сертификат клиента отправляется с каждым запросом, также неверна из-за (1) HTTP keepalive и (2) SSL кеширование сеансов, которое повторно использует один и тот же сеанс SSL для любого периода времени, настроенного на сервере, возможно, 10-15 минут, может быть, также час, может быть, даже день.