关于 https 双向认证的细节

[angcz]

最近看了下 https 双向认证，有些点没搞懂，还请大家指教一下。

1.客户端证书是怎么生成的？
看网上说是由颁发服务端证书的 ca 生成的，感觉应该不对吧？也许实际应用中是用服务端自签名证书生成的？

2.客户端证书是怎么安装到客户端的？
分 app 和网页两种情况；对于不同的用户，安装的 app 应该都是一样的吧，那就是说大家用的都是同一个客户端证书，感觉不对吧？而且如果是安装时内置的话，那网页要怎么办呢，网页没有安装的过程吧？所以应该是安装之后生成的？但是生成又需要 ca 私钥，这东西不可能内置在客户端，那是通过网络传给客户端的吗，这样没法保证安全，应该也不是的吧？

3.双向认证怎么防止抓包的呢？
以这里 https://cloud.tencent.com/developer/article/1171381 第五节的图为例，我如果抓包，只要把 4 和 6 透传给服务端，然后把 8 透传给客户端，不就能正常拦截到 9 （之前已经把服务端证书替换成抓包软件证书），也就拿到了对称加密密钥了吗？

再次感谢大家指导。

[des]

@angcz
如果你都能 hook 了，什么数据都能拿得到
这也是设备防拆的存在意义

[julyclyde]

网页可以直接给浏览器里安装证书的
有个特殊组件

[julyclyde]

又看了一遍提问
觉得你根本没读书