自签名证书能够指许多不同的证书类型，包含 SSL/TLS 证书、S/MIME 证书、代码签名证书 等，其中最常见的证书类型是自签名 SSL 证书。与 CA 颁发的 SSL 证书不同，自签名证书通常指的是那些未经第三方验证，间接上传到公有公钥根底构造 (PKI) 的证书文件。
什么是自签名 SSL 证书？
自签名证书是由不受信的 CA 机构颁发的数字证书，也就是本人签发的证书。与受信赖的 CA 签发的传统数字证书不同，自签名证书是由一些公司或软件开发商创立、颁发和签名的。尽管自签名证书应用的是与 X.509 证书雷同的加密密钥对架构，然而却短少受信赖第三方（如 Sectigo）的验证。在颁发过程中不足独立验证会产生额定的危险，这就是为什么对于面向公众的网站和应用程序来说，自签名证书是不平安的。
自签名证书有什么劣势？
尽管应用自签名证书有危险，但也有其用处。
- 收费。自签名证书是收费提供的，任何开发人员都能够申请。
- 随时签发。自签名证书能够随时随地签发，不必期待第三方证书颁发机构的验证和签发。
- 加密。自签名 SSL 证书应用与其余付费 SSL/TLS 证书雷同的办法加密传输数据。
- 不便。自签名证书不会在一段时间后过期或须要续订，但 CA 颁发的证书却会在一段时间后过期，还须要续订。
尽管自签名证书看起来很不便，但这也是这些证书的次要问题之一，因为它们无奈满足针对发现的破绽进行安全更新，也不能满足当今古代企业平安所需的证书敏捷性。因而，很少人应用自签名 SSL 证书。此外，自签名证书无奈撤销证书，如果证书被忘记或保留在歹意行为者凋谢的零碎上，则会裸露所应用的加密办法。可怜的是，即便如此，一些 IT 部门认为，证书颁发机构颁发的证书的老本超过了升高额定验证和破绽反对的危险。
自签名证书有什么缺点？
1、不受浏览器信赖，易失落用户。
每当用户拜访应用自签名证书的站点时，他们会收到“不平安”正告，显示诸如“error_self_signed_cert”或“err_cert_authority_invalid”之类的谬误，要求用户确认他们违心承担风险持续浏览。这些正告会给网站访问者带来恐怖和不安，用户会认为该网站已被入侵，无奈爱护他们的数据，最初抉择放弃浏览该站点转而拜访不会提醒平安正告的竞争对手网站。另外，不受浏览器信赖的自签名证书，地址栏不会显示平安锁和 HTTPS 协定头。下图为 SSL 证书在浏览器地址栏中的状态显示，右边为自签名 SSL 证书，左边为受信 CA 颁发的 SSL 证书：
2、不平安。
因为自签名证书反对超长有效期，因而也无奈在发现新的破绽后进行安全更新，容易受到中间人攻打破解。自签名 SSL 证书没有可拜访的撤消列表，也容易被黑客伪造、混充网站利用，不能满足以后的安全策略，存在诸多的不安全隐患。
企业能够应用自签名证书吗？
如前所述，应用自签名证书会带来很多危险，特地是在公共站点上应用自签名证书的危险更大。对于解决任何集体敏感信息的网站，包含衰弱、税务或财务记录等信息，万万不可应用自签名证书。相似这样的数据泄露会侵害用户对品牌的信任度，还会受到隐衷法规的处罚，侵害企业的经济利益。
许多人认为在公司外部的员工门户或通信站点部署自签名证书没有危险，但事实并非如此。因为在这些站点应用自签名证书仍会导致浏览器平安正告。尽管能够疏忽这些正告，但却无心中助长了员工疏忽平安正告的习惯。这种行为习惯可能会使企业今后面临更大的危险。
尽管咱们不举荐企业应用自签名证书，但它也并不是没有用途。一般来说，自签名证书能够用于内部测试环境或限度内部人员拜访的 Web 服务器。
如何创立自签名证书？
尽管自签名证书存在肯定的安全隐患，但有它的劣势，这里给大家分享一下创立自签名证书的办法。其实，创立自签名 SSL 证书很简略，次要取决于您的服务器环境，如 Apache 或 Linux 服务器。办法如下：
1、生成私钥
要创立 SSL 证书，须要私钥和证书签名申请（CSR）。您能够应用一些生成工具或向 CA 申请生成私钥，私钥是应用 RSA 和 ECC 等算法生成的加密密钥。生成 RSA 私钥的代码示例：openssl genrsa -aes256 -out servername.pass.key 4096，随后该命令会提醒您输出明码。
2、生成 CSR
私钥生成后，您的私钥文件当初将作为 servername.key 保留在您的当前目录中，并将用于生成 CSR。自签名证书的 CSR 的代码示例：openssl req -nodes -new -key servername.key -out servername.csr。而后须要输出几条信息，包含组织、组织单位、国家、地区、城市和通用名称。通用名称即域名或 IP 地址。
输出此信息后，servername.csr 文件将位于当前目录中，其中蕴含 servername.key 私钥文件。
3、颁发证书
最初，应用 server.key（私钥文件）和 server.csr 文件生成新证书（.crt）。以下是生成新证书的命令示例：openssl x509 -req -sha256 -days 365 -in servername.csr -signkey servername.key -out servername.crt。最初，在您的当前目录中找到 servername.crt 文件即可。
创立自签名证书的办法很简略，不须要第三方验证。所以，它是能够在内部测试环境中应用，但不倡议企业在用户环境中应用。企业或组织应该抉择受信 CA 颁发的 SSL 证书，锐成信息提供 Digicert、Sectigo、Globalsign 等寰球最受信的 CA 机构颁发的 SSL 证书，这些证书能帮忙您躲避用户散失、数据泄露和中间人攻打等平安危险。千万不要为了省小钱而花大钱，要有久远的眼光，能力取得短暂的利益！
本文转载于 https://www.racent.com/blog/w…