SSL证书能否用于客户端证书认证？双向TLS认证客户端证书未发送问题

首先直接给结论：普通的SSL服务器证书（比如你用的Comodo Positive SSL）默认没法用作客户端证书，核心原因是证书的「扩展密钥用法（Extended Key Usage, EKU）」字段不匹配。

为什么你的证书没被发送？ #

客户端证书需要在EKU字段里包含「Client Authentication」（对应的OID是1.3.6.1.5.5.7.3.2）这个用途，而Comodo Positive SSL这类普通SSL证书，默认只配置了「Server Authentication」的EKU——它是给网站服务器用的，不是给客户端用来做身份认证的。

SChannel日志里的警告其实已经在暗示这个问题：服务器请求了客户端认证，但系统遍历密钥库后，找不到符合要求的证书，自然就没法发送了。

怎么解决这个问题？ #

• 检查现有证书的EKU：打开Windows的证书管理器（certmgr.msc），找到你的Comodo证书，查看「详细信息」选项卡的「扩展密钥用法」，你会发现里面只有「服务器身份验证」，没有「客户端身份验证」。也可以用命令行验证：

  certutil -dump "C:\path\to\your\cert.pfx"
  

  输出里找「EKU」字段，看看有没有1.3.6.1.5.5.7.3.2。

• 申请/生成正确的客户端证书：

  • 如果是生产环境，联系你的CA（比如Comodo），申请带有「Client Authentication」EKU的证书——有些CA允许在原有证书上添加这个用途，或者需要重新签发专门的客户端证书。
  • 如果是测试环境，可以自己生成自签名客户端证书，用OpenSSL或者PowerShell的New-SelfSignedCertificate命令，记得指定-KeyUsage DigitalSignature和-TextExtension @("2.5.29.37={text}1.3.6.1.5.5.7.3.2")参数。

• 确保证书正确导入：把带客户端认证EKU的证书导入到Windows的「个人」证书存储区（当前用户或计算机级别都可以，取决于你的调用程序权限），并且要确保私钥是可导出、可访问的（导入时别勾选「标记此密钥为不可导出」）。

• 验证调用配置：如果你是用代码发起调用（比如.NET、Python等），要确保代码明确指定了使用这个客户端证书，或者系统能自动匹配到符合EKU的证书——有些框架不会自动选择证书，需要你手动指定证书的指纹或主题。

内容的提问来源于stack exchange，提问作者None