根据签发证书的CA的不同，证书可以分为2种：

1. 由自己创建的CA签发的证书，通常叫做自签名证书;
2. 由PKI的CA签发的证书，具有普遍可信的证书。

自签名证书

之前12306的证书就是一个自签名证书，所以浏览器第一次打开12306的官网时，会被提示不安全。但是现在已经改为由PKI签发的证书，可以正确通过浏览器的证书检查了。 但是，这并不意味着自签名证书就没有用。比如在内网中，为了测试或者部署内部服务，为了成本考虑，可以签发一些自签名证书，由于时内网环境，我们已经100%确认对方的身份，所以就不需要PKI来帮助我们校验证书是否正确。

使用openssl创建自签名证书：

制作CA证书：

1....

Read more

什么是TLS/SSL证书

SSL证书跟驾照有点类似。在驾照里，关键信息有几点：

1. 我是谁
2. 驾照是谁颁发的
3. 驾照是否过期

在SSL证书里也是类似的：

1. 我是谁（域名、实体是谁）
2. 证书是由谁签发的
3. 证书是否过期

所以，一个SSL证书可以这么定义：由无条件信任的机构颁发给实际使用者来提供身份认证的一段数据编码。

证书的编码

X.690定义了ASN.1用到的几种编码格式：

1. Basic Encoding Rules(BER）
2. Canonical Encoding Rules(CER)
3. Distinguished Encoding Rules(DER)

其中： BER是最基本的编码格式。CE...

Read more

SSL协议背景

在互联网设计之初，设计者并没有太过于考虑安全方面的问题，因此，在网络上传输的数据都是明文的，也就意味着，任何一个恶意的攻击者都可以得到我们提交的任何数据，这会带来3类风险：

1. 数据窃听（eavesdropping）： 第三方可以获知信息内容
2. 数据篡改（tampering）： 第三方可以修改通信内容
3. 身份冒充（pretending）： 第三方可以冒充他人身份参与通信

SSL&TLS协议的出现正是为了解决这3类问题，希望可以达到：

1. 所有信息都是加密传输，第三方无法窃听
2. 具有校验机制，一旦被篡改，通信双方会立刻发现
3. 具备身份证书，防止身份被冒充 从而实现在“不安全”...

Read more