Door Anoniem: Door Bitwiper: Een webservercertificaat is onbruikbaar als clientcertificaat - "tenzij". [knip - lang, en correct verhaal] In de praktijk is het verstandig om zelf clientcertificaten uit te geven, en het rootcertificaat daarvoor op de server te zetten. Dat betekent wel dat je die clientcertificaten moet kunnen "intrekken" (mocht de private key "gelekt" worden of een slechte random number zijn gebruikt voor het genereren van het sleutelpaar) door ze op de een of andere manier te blacklisten. Omdat je nooit 100% kunt uitsluiten dat een leidinggevende of jouw opvolger besluit om dat rootcertificaat ook voor andere doeleinden in te zetten (en omdat het waarschijnlijk in de trusted root certificate store van de webserver staat, en je daar alleen trusted code op wilt uitvoeren), raad ik aan om het gebruiksdoel van clientcertificaten zoveel mogelijk tot dat doel te beperken. En als je zelf certificaten "uitgeeft", is het natuurlijk jouw verantwoording om te checken dat de aanvrager is wie zij zegt ...