上一篇
https中的ssl证书
SSL证书由CA颁发，加密传输、验身份，保障HTTPS通信
SSL证书的作用
SSL（Secure Sockets Layer）证书是数字证书的一种，用于在Web服务器与浏览器之间建立加密连接（HTTPS），其核心功能包括：
- 数据加密：防止传输内容被窃取或改动。
- 身份验证：证明网站真实身份，避免钓鱼攻击。
- 信任标识：浏览器通过证书颁发机构（CA）的签名验证网站可信度。
SSL证书的组成
| 组件 | 说明 |
|---|---|
| 公钥与私钥 | 非对称加密算法生成的密钥对，私钥由服务器持有，公钥公开给客户端。 |
| 证书签发机构（CA） | 权威机构（如Let’s Encrypt、DigiCert）对证书进行签名，浏览器预置信任CA列表。 |
| 包含域名、所有者信息、有效期、签名算法等，浏览器通过解析内容验证合法性。 |
SSL证书的类型
| 类型 | 验证方式 | 信任等级 | 适用场景 |
|---|---|---|---|
| DV SSL（域名验证） | 仅验证域名所有权（如邮箱、DNS记录） | 低 | 个人网站、测试环境 |
| OV SSL（企业验证） | 验证企业身份（需提供营业执照等） | 中 | 中小企业官网 |
| EV SSL（扩展验证） | 严格验证企业资质（需法律文件） | 高 | 金融、电商等高安全需求场景 |
SSL证书的验证方式
域名验证（DV）
- 通过DNS记录或邮件验证域名所有权。
- 速度快，但无法证明网站背后实体的真实性。
企业验证（OV）
- 需提交企业证件（如营业执照）、联系方式等。
- CA审核后颁发证书，证书中显示企业名称。
扩展验证（EV）
- 最严格的验证流程，需法律文件和实地审查。
- 浏览器地址栏显示绿色企业名称，用户信任度最高。
SSL证书的安装与配置
| 步骤 | 操作说明 |
|---|---|
| 生成密钥对 | 使用工具（如OpenSSL）生成RSA/ECDSA密钥对，私钥严格保密。 |
| 申请证书 | 向CA提交CSR（证书签名请求）文件，根据验证类型提供域名或企业信息。 |
| 下载证书文件 | CA返回证书文件（如.crt）及中间证书链。 |
| 配置服务器 | 将证书、私钥、证书链上传至服务器，配置HTTPS监听（如Nginx、Apache）。 |
| 强制HTTPS跳转 | 通过301重定向或HSTS（HTTP Strice Transport Security）强制使用HTTPS。 |
SSL证书的有效期与续期
- 有效期：通常为1年（DV）至2年（EV），浏览器会标记临近过期的证书为“不安全”。
- 续期方式：
- 在到期前30天重新申请证书。
- 使用自动化工具（如CertBot）实现续期。
常见问题与解答
问题1：自签名证书为什么不被浏览器信任？
解答：自签名证书由网站自身生成，未经过权威CA签名，浏览器无法验证其真实性，因此会提示“不安全”。
问题2：HTTPS是否会完全阻止中间人攻击？
解答：HTTPS可防止大多数中间人攻击，但若用户访问了伪造的CA或证书被吊销后未及时更新，仍可能受到攻击，建议定期检查证书状态并启用证书透明度（CT）日志
