上一篇
http证书详解
HTTPS证书通过加密数据、验证服务器身份，防止流量劫持，确保客户端
HTTP证书
HTTP证书（全称：Hypertext Transfer Protocol Secure Certificate）是数字证书的一种，用于在HTTPS协议中验证服务器身份并建立加密通信，它由权威机构（CA，证书颁发机构）签发，包含服务器公钥、所有者信息、有效期等核心数据。
核心作用
| 功能 | 说明 |
|---|---|
| 身份验证 | 证明服务器真实身份，防止钓鱼网站 |
| 数据加密 | 通过SSL/TLS协议对传输数据加密（如RSA、ECDHE算法） |
| 完整性保护 | 防止数据在传输过程中被改动（通过数字签名校验） |
| 信任链建立 | 依赖CA的根证书预装在浏览器/操作系统中，形成信任链路 |
证书分类
按验证等级
| 类型 | 适用场景 | 浏览器地址栏标识 | |
|---|---|---|---|
| DV SSL | 仅验证域名所有权 | 个人网站、测试环境 | 灰色锁+https:// |
| OV SSL | 域名验证 + 企业身份验证 | 企业官网、电商平台 | 灰色锁+https:// + 企业名称 |
| EV SSL | 扩展验证（严格企业审查） | 金融、政府机构 | 绿色地址栏 + 企业名称 |
按域名数量
| 类型 | 说明 |
|---|---|
| 单域名证书 | 仅支持单个完整域名（如example.com） |
| 泛域名证书 | 支持主域名及所有子域名（如.example.com） |
| 多域名证书（SAN） | 支持多个独立域名（需明确列表） |
证书核心字段
| 字段名称 | 示例值 | 作用 |
|---|---|---|
| Subject | CN=www.example.com | 证书绑定的域名 |
| Issuer | DigiCert Inc | 颁发机构 |
| Public Key | MIIBIjANBg… | 用于客户端加密的公钥（2048位RSA或ECC曲线） |
| Valid From/To | 2023-01-01 ~ 2024-01-01 | 证书有效期（通常1年，EV证书最长2年） |
| Signature | SHA256-RSA | 证书签名算法（现代证书普遍使用SHA256+RSA/ECDSA） |
| Extensions | Key Usage=Digital Signature | 扩展字段（如密钥用法、CA授权链等） |
证书颁发流程
生成密钥对
服务器生成2048位RSA或ECC密钥对，私钥严格保密,公钥用于证书申请。提交CSR
将公钥和CSR（证书签名请求）提交至CA,CSR包含：-----BEGIN CERTIFICATE REQUEST----- MIICZzCCAZ...（Base64编码的公钥+域名信息） -----END CERTIFICATE REQUEST-----CA验证
- DV证书：通过DNS解析/文件验证域名所有权（如上传特定文件到网站根目录）。
- OV/EV证书：额外验证企业法律文件（如营业执照、邓白氏编码）。
签发证书
CA用其私钥对CSR签名，生成.pem或.crt文件,包含完整的证书链。安装与部署
将证书文件部署到服务器（如Nginx/Apache）,配置强制HTTPS跳转。
浏览器验证机制
当访问HTTPS站点时,浏览器执行以下操作：
- 检查证书是否在本地受信任的根CA列表中。
- 验证证书链是否完整（中间证书是否包含）。
- 检查域名是否与证书
CN或SAN字段匹配。 - 确认证书未过期且未被吊销（通过CRL或OCSP查询）。
- 使用证书公钥加密对称密钥（如AES-GCM）,建立安全会话。
常见问题与解决
Q1：证书过期如何处理？
解决方案：
- 立即续订证书（建议提前30天）。
- 自动化工具（如Let’s Encrypt + Certbot）实现无间断续期。
- 临时应急：删除过期证书并重新申请,但会导致服务中断。
Q2：自签名证书与CA证书的区别？
| 对比维度 | 自签名证书 | CA签发证书 |
|---|---|---|
| 信任基础 | 需手动导入根证书到客户端 | 依赖预装的根证书 |
| 验证强度 | 无身份验证，仅加密传输 | 经CA审核身份 |
| 适用场景 | 内部测试、局域网服务 | 公共互联网服务 |
| 浏览器提示 | 直接阻断并标记“不安全” | 正常显示安全标识 |
关联技术概念
HSTS（HTTP Strict Transport Security）
通过响应头Strict-Transport-Security: max-age=31536000强制浏览器永远使用HTTPS。证书透明度（Certificate Transparency）
Google推广的公开日志系统,记录所有颁发的证书以防止滥发。
相关问题与解答
问题1：HTTPS证书能否防止DDoS攻击？
答案：不能，HTTPS证书仅提供加密和身份验证，DDoS攻击通过流量淹没目标服务器，需通过防火墙、CDN分流或抗DDoS服务防御。
问题2：免费证书（如Let’s Encrypt）与付费证书有何本质区别？
答案：
| 对比项 | Let’s Encrypt | 付费证书（如DigiCert） |
|———————-|———————————–|——————————–|
| 验证方式 | 自动化域名验证（DV） | 支持DV/OV/EV多种验证 |
| 有效期 | 90天（需频繁续期） | 1-2年（支持自动续期） |
| 责任保障 | 无反面使用保险 | 提供高额理赔保险（如$1,000,000）|
| 兼容性 | 主流浏览器支持 | 老旧客户端兼容性更好 |
