クライアントに優先SSL/TLS証明書を選択させる

Question

RSAと "BCA" ECCを使用する2つのCA（ACA）があり、どちらもサーバーのTLS証明書を発行しているとします。 ACAはほとんどのクライアントから信頼されていますが、BCAはほんのわずかしか信頼されていません。

ACAは信頼されていますが、RSAには常に時間がかかります。だから、私たちは、BCAが署名した証明書をBCAを信頼するすべてのクライアントが優先させ、他はACAのものに戻すことを希望します。

私が知っているように、ドメイン用に複数の証明書を設定することは可能です。少なくともnginxでは、クライアントは常にnginxのsnginx.conf設定ファイルに2番目の証明書エントリとして入れた証明書を使用します。

可能な場合はサーバーがEC証明書を処理する可能性がありますが、クライアントが証明書を信頼しない場合はRSA証明書を処理する可能性はありますか？

Answer 1

クライアントは、CAが信頼する情報を提供しません。つまり、サーバーは、クライアントの信頼設定に基づいて、どの証明書を提供するかを決定できません。サーバがこれらの証明書のどれを使用するかを決定する唯一の情報は、クライアントが提供する暗号を見ることである。すなわち、クライアントがECDSA暗号をサポートしていればECC証明書を使用する。