7.4. X.509 Certificate Spoofing (Spoofing di certificato X.509)

7.4. X.509 Certificate Spoofing (Spoofing di certificato X.509)

Se si usa il metodo PKI di autenticazione client, un attaccante potrebbe tentare di impersonare un client usando un certificato con lo stesso soggetto (DN o SAN) ma emesso da una CA diversa di cui l'authorization server si fida. Per far fronte a tale minaccia, l'authorization server DOVREBBE accettare come trust anchor solo un numero limitato di CA la cui policy di emissione certificati soddisfi i suoi requisiti di sicurezza. Vi è allora l'assunzione che client e server concordino fuori banda l'insieme di trust anchor che il server usa per creare e convalidare la catena di certificati. Senza questa assunzione, l'uso del soggetto per identificare il certificato client esporrebbe il server ad attacchi di spoofing del certificato.