https://blog.imcaoxuan.cn/tags/pkcs12/Recent content in PKCS12 on CX 的博客Hugozh-CNimcaoxuan.cnMon, 26 Oct 2026 00:00:00 +0000https://blog.imcaoxuan.cn/posts/2026-10-26-mtls-client-cert-macos-ios/Mon, 26 Oct 2026 00:00:00 +0000https://blog.imcaoxuan.cn/posts/2026-10-26-mtls-client-cert-macos-ios/<h1 id="macos-与-ios-使用客户端证书访问-mtls-网站">macOS 与 iOS 使用客户端证书访问 mTLS 网站</h1> <p>本文介绍如何在 macOS 和 iOS 设备上配置客户端证书，以访问启用双向 TLS（mTLS）的 HTTPS 网站。示例使用私有 CA、<code>step-ca</code>、Nginx、PKCS#12 和 PIV 智能卡。文中的域名、证书名称、文件名和 IP 地址均为示例，请替换为自己的实际值。</p> <h2 id="1-mtls-认证流程">1. mTLS 认证流程</h2> <p>普通 HTTPS 主要由客户端验证服务器证书；mTLS 还要求服务器验证客户端证书。</p> <p>基本流程：</p> <ol> <li>客户端访问 HTTPS 站点。</li> <li>Nginx 在 TLS 握手期间请求客户端证书。</li> <li>浏览器或系统选择客户端身份，并使用对应私钥完成签名。</li> <li>Nginx 根据配置验证客户端证书、证书链和有效期。</li> <li>验证通过后，连接进入 HTTP 层，由站点策略决定是否允许访问。</li> </ol> <p>客户端身份和服务器 CA 信任是两个独立配置：</p> <ul> <li><strong>客户端身份</strong>：客户端证书及与之匹配的私钥，用于向服务器证明身份。</li> <li><strong>服务器 CA 信任</strong>：客户端信任签发网站服务器证书的 CA，用于验证 HTTPS 服务器身份。</li> </ul> <p>安装客户端证书不会自动让设备信任私有 CA。</p> <h2 id="2-macos使用-piv-硬件密钥">2. macOS：使用 PIV 硬件密钥</h2> <p>如果客户端私钥保存在支持 PIV 的硬件密钥中，可以让私钥留在硬件设备内，避免导出私钥文件。浏览器是否能使用该身份，取决于 macOS、智能卡中间件、密钥设备和浏览器的支持情况。</p> <p>一般检查步骤：</p> <ol> <li>插入 PIV 硬件密钥。</li> <li>确认 macOS 能识别智能卡及其证书。</li> <li>打开浏览器并访问 mTLS 网站。</li> <li>如果浏览器请求客户端证书，选择对应的身份。</li> <li>按提示输入 PIN 或完成硬件操作。</li> <li>结合页面结果和服务器日志确认认证是否成功。</li> </ol> <p>可用以下命令检查系统状态：</p>