EV SSL證書

公鑰加密基礎(chǔ)設(shè)施（PKI）中、證書頒發(fā)機(jī)構(gòu)（CA）必須信任證書簽名人，以保護(hù)私鑰，并通過互聯(lián)網(wǎng)在線傳輸信息。然而，在簽署SSL證書的情況下，CA無法識(shí)別簽名人或信任它，因此私鑰將不再安全和損壞，這鼓勵(lì)網(wǎng)絡(luò)罪犯攻擊網(wǎng)站并竊取信息。

⌈自簽名SSL證書的缺點(diǎn)⌋：

·應(yīng)用/操作系統(tǒng)不信任自簽證證書，可能導(dǎo)致身份驗(yàn)證錯(cuò)誤等。

·低哈希和密碼技術(shù)可用于自簽證。因此，自簽證的安全水平可能不符合當(dāng)前的安全策略。

·不支持高級(jí)PKI(公鑰基礎(chǔ)設(shè)施)功能，如網(wǎng)上檢查撤銷列表等。

·自簽證的有效期一般為一年，這些證書每年都需要更新/更換，這是一個(gè)難以維護(hù)的問題。

⌈在公共場(chǎng)所使用自簽名SSL證書的風(fēng)險(xiǎn)⌋：

與自簽名SSL證書相關(guān)的安全警告將驅(qū)逐潛在客戶，因?yàn)樗麄儞?dān)心該網(wǎng)站無法保護(hù)其憑證，從而損害品牌聲譽(yù)和客戶信任。

⌈在內(nèi)部網(wǎng)站上使用自簽名SSL證書的風(fēng)險(xiǎn)⌋：

在公共網(wǎng)站上使用自簽名證書的風(fēng)險(xiǎn)很明顯，在內(nèi)部使用也有風(fēng)險(xiǎn)。內(nèi)部網(wǎng)站（如員工門戶）上的自簽名證書仍然會(huì)導(dǎo)致瀏覽器警告。許多組織建議員工忽略警告，因?yàn)樗麄冎纼?nèi)部網(wǎng)站是安全的，但這可能會(huì)鼓勵(lì)危險(xiǎn)的公共瀏覽行為。習(xí)慣于忽視內(nèi)部網(wǎng)站警告的員工可能會(huì)忽略公共網(wǎng)站上的警告，使他們和你的組織容易受到惡意軟件和其他威脅的攻擊。

如果自簽名SSL證書安裝在電子商務(wù)網(wǎng)站上，用戶會(huì)感受到數(shù)據(jù)和信息被盜的風(fēng)險(xiǎn)，退出購(gòu)物，這也會(huì)影響在線業(yè)務(wù)和所有者的聲譽(yù)。收集用戶敏感信息和個(gè)人信息的網(wǎng)站不得安裝自簽名SSL證書。銀行、電子商務(wù)、社交媒體、醫(yī)療保健和政府部門就是其中之一。公鑰加密基礎(chǔ)設(shè)施（PKI）中、證書頒發(fā)機(jī)構(gòu)（CA）必須信任證書簽名人，以保護(hù)私鑰，并通過互聯(lián)網(wǎng)在線傳輸信息。然而，在簽署SSL證書的情況下，CA無法識(shí)別簽名人或信任它，因此私鑰將不再安全和損壞，這鼓勵(lì)網(wǎng)絡(luò)罪犯攻擊網(wǎng)站并竊取信息。

⌈自簽名SSL證書的缺點(diǎn)⌋：

·應(yīng)用/操作系統(tǒng)不信任自簽證證書，可能導(dǎo)致身份驗(yàn)證錯(cuò)誤等。

·低哈希和密碼技術(shù)可用于自簽證。因此，自簽證的安全水平可能不符合當(dāng)前的安全策略。

·不支持高級(jí)PKI(公鑰基礎(chǔ)設(shè)施)功能，如網(wǎng)上檢查撤銷列表等。

·自簽證的有效期一般為一年，這些證書每年都需要更新/更換，這是一個(gè)難以維護(hù)的問題。

⌈在公共場(chǎng)所使用自簽名SSL證書的風(fēng)險(xiǎn)⌋：

與自簽名SSL證書相關(guān)的安全警告將驅(qū)逐潛在客戶，因?yàn)樗麄儞?dān)心該網(wǎng)站無法保護(hù)其憑證，從而損害品牌聲譽(yù)和客戶信任。

⌈在內(nèi)部網(wǎng)站上使用自簽名SSL證書的風(fēng)險(xiǎn)⌋：

在公共網(wǎng)站上使用自簽名證書的風(fēng)險(xiǎn)很明顯，在內(nèi)部使用也有風(fēng)險(xiǎn)。內(nèi)部網(wǎng)站（如員工門戶）上的自簽名證書仍然會(huì)導(dǎo)致瀏覽器警告。許多組織建議員工忽略警告，因?yàn)樗麄冎纼?nèi)部網(wǎng)站是安全的，但這可能會(huì)鼓勵(lì)危險(xiǎn)的公共瀏覽行為。習(xí)慣于忽視內(nèi)部網(wǎng)站警告的員工可能會(huì)忽略公共網(wǎng)站上的警告，使他們和你的組織容易受到惡意軟件和其他威脅的攻擊。

如果自簽名SSL證書安裝在電子商務(wù)網(wǎng)站上，用戶會(huì)感受到數(shù)據(jù)和信息被盜的風(fēng)險(xiǎn)，退出購(gòu)物，這也會(huì)影響在線業(yè)務(wù)和所有者的聲譽(yù)。收集用戶敏感信息和個(gè)人信息的網(wǎng)站不得安裝自簽名SSL證書。銀行、電子商務(wù)、社交媒體、醫(yī)療保健和政府部門就是其中之一。

1、從可信的名稱認(rèn)證中心獲取服務(wù)器證書

如verisign或thawte。這些中心的網(wǎng)站顯示了這些證書的價(jià)格和有效期。這些證書的優(yōu)點(diǎn)是，它們的根證書已經(jīng)安裝在必要的web瀏覽器密鑰數(shù)據(jù)庫(kù)中，包含這些根證書的類似數(shù)據(jù)庫(kù)也將通過Tivoli License Manager安裝過程安裝到服務(wù)器和代理程序中。因此，一旦服務(wù)器證書已經(jīng)在SL服務(wù)器上獲得和安裝，就不需要額外操作，就可以實(shí)現(xiàn)認(rèn)證、可靠性和隱私。然而，該選項(xiàng)的缺點(diǎn)是，如果您想在每個(gè)運(yùn)行過程中使用不同的服務(wù)器證書（最安全的方法），您必須為每個(gè)服務(wù)器證書支付證書費(fèi)用。從易用的角度來看，該選項(xiàng)是首選解決方案。

二、發(fā)放自簽署的服務(wù)器證書

您的企業(yè)可能已經(jīng)決定發(fā)放自簽署的服務(wù)器證書。這種做法的優(yōu)點(diǎn)是，你不必每次發(fā)放新證書都付費(fèi)。缺點(diǎn)是需要在所有SSL客戶機(jī)（其他服務(wù)器、代理程序和web瀏覽器）的密鑰數(shù)據(jù)庫(kù)中安裝相同的服務(wù)器證書。另一個(gè)缺點(diǎn)是，如果服務(wù)器工具在備用運(yùn)行中使用，則必須在所有可連接的服務(wù)器上使用相同的服務(wù)器證書，并在所有代理程序中同時(shí)使用。常規(guī)商業(yè)行為，不建議選擇該選項(xiàng)。

三、作為認(rèn)證中心發(fā)放服務(wù)器證書

如果您的企業(yè)已經(jīng)是私人認(rèn)證中心，您可以向您的SSL服務(wù)器頒發(fā)專用密鑰服務(wù)器證書，并在所有SSL客戶機(jī)（其他服務(wù)器、代理程序和web瀏覽器）的密鑰數(shù)據(jù)庫(kù)中安裝您的根證書。對(duì)于備用運(yùn)行時(shí)的服務(wù)器工具，該選項(xiàng)是最靈活的，因?yàn)樗试S您為每個(gè)運(yùn)行時(shí)的服務(wù)器生成不同的服務(wù)器證書。眾所周知，代理程序上的公共根證書將允許所有證書得到驗(yàn)證。從安全的角度來看，該選項(xiàng)是首選的解決方案。

一般來說，在網(wǎng)上進(jìn)行電子商務(wù)交易時(shí)，雙方都需要使用數(shù)字簽名來顯示自己的身份，并使用數(shù)字簽名來進(jìn)行相關(guān)的交易操作。隨著電子商務(wù)的普及，數(shù)字簽名發(fā)行機(jī)構(gòu)CA中心將為電子商務(wù)的發(fā)展提供可靠的安全保障。

常見的Web服務(wù)軟件通?；贠penSSL和Java兩個(gè)基本密碼庫(kù)。

Tomcat.Weblogic.JBossJava提供的密碼庫(kù)通常用于Web服務(wù)軟件。通過JavaDevelopmentKit（JDK）生成工具包中的Keytool工具JavaKeystore（JKS）格式證書文件。

Apache.Nginx在Web服務(wù)軟件中，OpenSSL工具提供的密碼庫(kù)通常用于生成PEM.KEY.CRT等格式的證書文件。

IBMWeb服務(wù)產(chǎn)品，如Websphere.IBMHttpServer（IHS）等等，一般使用IBM產(chǎn)品自帶的iKeyman工具，生成KDB格式的證書文件。

微軟WindowsServer中的InternetInformationServices（IIS）使用Windows自帶的證書庫(kù)生成PFX格式的證書文件。

以下表格介紹了文件的常見格式。您可以參考以下表格來區(qū)分具有后綴擴(kuò)展名稱的證書文件。

1.文件后綴：*.DER或*.CER

文件類型：二進(jìn)制格式

注：只包含證書信息，不包括私鑰。

2.文件后綴：*.CRT

文件類型：二進(jìn)制格式或文本格式

注：只包含證書信息，不包括私鑰。

3.文件后綴：*.PEM

文件類型：文本格式

注：一般存放證書或私鑰，或同時(shí)包含證書和私鑰。*.PEM如果文件只包含私鑰，一般使用*.KEY文件代替。

4.文件后綴：*.PFX或*.P12

文件類型：二進(jìn)制格式

說明:同時(shí)包含證書和私鑰，一般有密碼保護(hù)。

(說明證書格式可以相互轉(zhuǎn)換)

您可以使用記事本直接打開證書文件。若顯示規(guī)則數(shù)字字母(如下所示)，則證書文件為文本格式。

—–BEGINCERTIFICATE—–

MIIE5zCCA8+gAwIBAgIQN+whYc2BgzAogau0dc3PtzANBgkqh...

—–ENDCERTIFICATE—–

如果存在——BEGINCERTIFICATE——，說明這是證書文件。

如果存在—–BEGINRSAPRIVATEKEY—–，這意味著這是一個(gè)私鑰文件。