生成自签名 SSL 证书
#
1. 什么是 HTTPS要保证 Web 浏览器到服务器的安全连接,HTTPS 几乎是唯一选择。HTTPS 其实就是 HTTP over SSL,也就是让 HTTP 连接建立在 SSL 安全连接之上。SSL 使用证书来创建安全连接,有两种验证模式:
仅客户端验证服务器的证书,客户端自己不提供证书;
客户端和服务器都互相验证对方的证书。
普通的 Web 网站只采用第一种方式,第二种方式用于网上银行等安全性要求较高的网站。
在第二种方式中,客户端采用这种方式验证证书:服务器自己的证书必须经过某“权威”证书的签名,而这个“权威”证书又可能经过更权威的证书签名,这么一级一级追溯上去,最顶层那个最权威的证书就称为根证书。根证书直接内置在浏览器中,这样,浏览器就可以利用自己自带的根证书去验证某个服务器的证书是否有效。如果要提供一个有效的证书,服务器的证书必须从VeriSign
这样的证书颁发机构签名。这样,浏览器就可以验证通过,否则,浏览器给出一个证书无效的警告。一般安全要求较高的内网环境,可以通过创建自签名 SSL 证书来加密通信。
#
2. 什么是数字证书在 HTTPS 的传输过程中,有一个非常关键的角色--数字证书
,那什么是数字证书?它有什么作用呢?
所谓数字证书,是一种用于电脑的身份识别机制。由数字证书颁发机构(CA)对使用私钥创建的签名请求文件做的签名(盖章),表示 CA 结构对证书持有者的认可。
#
2.1. 优点数字证书拥有以下几个优点:
- 使用数字证书能够提高用户的可信度;
- 数字证书中的公钥,能够与服务端的私钥配对使用,实现数据传输过程中的加密和解密;
- 在证认使用者身份期间,使用者的敏感个人数据并不会被传输至证书持有者的网络系统上。
#
2.2. 数字证书类型x509 的证书编码格式有两种:
PEM(Privacy-enhanced Electronic Mail)是明文格式的,以 -----BEGIN CERTIFICATE-----开头,以-----END CERTIFICATE-----结尾。中间是经过 base64 编码的内容,apache 需要的证书就是这类编码的证书.查看这类证书的信息的命令为:
openssl x509 -noout -text -in server.pem
。DER 是二进制格式的证书,查看这类证书的信息的命令为:
openssl x509 -noout -text -inform der -in server.der
#
2.3. 扩展名- .crt 证书文件,可以是 DER(二进制)编码的,也可以是 PEM(ASCII (Base64))编码的),在类 unix 系统中比较常见;
- .cer 也是证书,常见于 Windows 系统。编码类型同样可以是 DER 或者 PEM 的,windows 下有工具可以转换 crt 到 cer;
- .csr 证书签名请求文件,一般是生成请求以后发送给 CA,然后 CA 会给您签名并发回证书;
- .key 一般公钥或者密钥都会用这种扩展名,可以是 DER 编码的或者是 PEM 编码的。查看 DER 编码的(公钥或者密钥)的文件的命令为:
openssl rsa -inform DER -noout -text -in xxx.key
。查看 PEM 编码的(公钥或者密钥)的文件的命令为:openssl rsa -inform PEM -noout -text -in xxx.key
; - .p12 证书文件,包含一个 X509 证书和一个被密码保护的私钥;
#
3. 什么是自签名证书当由于某种原因(如:不想通过 CA 购买证书,或者仅是用于测试等情况),无法正常获取 CA 签发的证书。这时可以生成一个自签名证书。使用这个自签名证书的时候,会在客户端浏览器报一个错误,签名证书授权未知或不可信(signing certificate authority is unknown and not trusted)。
自签名证书有两种类型:
自签名证书
私有 CA 签名证书
自签名证书的
Issuer
和Subject
是相同的。
它们的区别有以下三点:
自签名的证书无法被吊销,私有 CA 签名的证书可以被吊销。
如果您的规划需要创建多个证书,那么使用私有 CA 签名的方法比较合适,因为只要给所有的客户端都安装相同的 CA 证书,那么以该 CA 证书签名过的证书,客户端都是信任的,也就只需要安装一次就够了。
如果您使用用自签名证书,您需要给所有的客户端安装该证书才会被信任。如果您需要第二个证书,则需要给所有客户端安装第二个 CA 证书才会被信任。
#
4. 如何生成自签名证书#
4.1. 一键生成 ssl 自签名证书脚本#
4.2. 脚本说明- 复制以上代码另存为
create_self-signed-cert.sh
或者其他您喜欢的文件名。 - 脚本参数
#
5. 验证证书注意: 因为使用的是自签名证书,浏览器会提示证书的颁发机构是未知的。
把生成的 ca 证书和去除密码的私钥文件部署到 web 服务器后,执行以下命令验证:
通过 openssl 本地校验
openssl verify -CAfile cacerts.pem tls.crt
应该返回状态为ok
openssl x509 -in tls.crt -noout -text
执行后查看对应的域名和扩展 iP 是否正确不加 CA 证书验证
添加 CA 证书验证