SSL證書(shū)百科

常見(jiàn)問(wèn)題

• 問(wèn)：如何進(jìn)場(chǎng)SSL證書(shū)格式轉(zhuǎn)換？

  答：不同的Web服務(wù)器支持不同的證書(shū)格式。您需要將簽發(fā)的證書(shū)轉(zhuǎn)換為適用于當(dāng)前Web服務(wù)器的格式，以便正常安裝SSL證書(shū)。本文介紹了如何轉(zhuǎn)換證書(shū)格式。您可以參考以下方法實(shí)現(xiàn)證書(shū)格式之間的轉(zhuǎn)換：將JKS格式證書(shū)轉(zhuǎn)換為PFX格式您可以使用JDK自帶的Keytool工具，將JKS格式證書(shū)文件轉(zhuǎn)換為PFX格式。例如，您可以執(zhí)行以下命令，并將其轉(zhuǎn)換為PFX格式。cert_name.jks證書(shū)文件轉(zhuǎn)換為cert_name.pfx證書(shū)文件。keytool-importkeystore-srckeystoreD:\.jks-destkeystoreD:\.pfx-srcstoretypeJKS-deststoretypePKCS12(本文證書(shū)名稱(chēng)為cert_name例如：證書(shū)文件名稱(chēng)為例cert_name.pem，證書(shū)密鑰文件名稱(chēng)為cert_name.key。在實(shí)際使用過(guò)程中，您需要cert_name更換為您的證書(shū)名稱(chēng)。)（Keytool該工具是JDK中自帶的密鑰管理工具，可以制作出來(lái)Keystore（jks）您可以從官方地址下載JDK工具包獲取格式證書(shū)文件。JDK\jre\bin\security\目錄下。）將PFX格式證書(shū)轉(zhuǎn)換為JKS格式您可以使用JDK自帶的Keytool工具，將PFX格式證書(shū)文件轉(zhuǎn)換為JKS格式。例如，您可以執(zhí)行以下命令，并將其轉(zhuǎn)換為JKS格式。cert_name.pfx證書(shū)文件轉(zhuǎn)換為cert_name.jks證書(shū)文件。keytool-importkeystore-srckeystoreD:\.pfx-destkeystoreD:\.jks-srcstoretypePKCS12-deststoretypeJKS將PEM，KEY或CRT格式證書(shū)轉(zhuǎn)換為PFX格式證書(shū)您可以使用OpenSSL工具，將KEY格式密鑰文件，PEM或CRT格式公鑰文件轉(zhuǎn)換為PFX格式證書(shū)文件。例如，將您的KEY格式密鑰文件轉(zhuǎn)換為PFX格式證書(shū)文件。cert_name.keyPEM格式公鑰文件cert_name.pem復(fù)制到OpenSSL工具安裝目錄，使用OpenSSL工具執(zhí)行以下命令，將證書(shū)轉(zhuǎn)換為OpenSSL工具安裝目錄cert_name.jks證書(shū)文件。opensslpkcs12-export-out.pfx-inkey.key-in.pem將PFX格式證書(shū)轉(zhuǎn)換為PFX格式證書(shū)PEM，KEY或CRT格式您可以使用OpenSSL工具將PFX格式證書(shū)文件轉(zhuǎn)換為KEY格式密鑰文件，PEM或CRT格式公鑰文件。例如，您的PFX格式證書(shū)文件cert_name.pfx復(fù)制到OpenSSL安裝目錄，使用OpenSSL工具執(zhí)行以下命令，將證書(shū)轉(zhuǎn)換為OpenSSL安裝目錄cert_name.pem證書(shū)文件和KEY格式密鑰文件cert_name.key。執(zhí)行opensslpkcs12-in.pfx-nokeys-out.pem。執(zhí)行opensslpkcs12-in.pfx-nocerts-out.key-nodes。將CER格式證書(shū)轉(zhuǎn)化為PEM格式您可以使用OpenSSL工具將CER格式證書(shū)文件轉(zhuǎn)換為PEM格式證書(shū)。例如，將您的CER格式證書(shū)文件cert_name.cer復(fù)制到OpenSSL安裝目錄，使用OpenSSL工具執(zhí)行以下命令，將證書(shū)轉(zhuǎn)換為OpenSSL安裝目錄cert_name.pem證書(shū)文件。opensslx509-in.cer-out.pem-outformPEM將PEM格式證書(shū)轉(zhuǎn)化為CER格式您可以使用OpenSSL工具將PEM格式證書(shū)文件轉(zhuǎn)換為CER格式證書(shū)文件。例如，將您的PEM格式證書(shū)文件cert_name.pem復(fù)制到OpenSSL安裝目錄，使用OpenSSL工具執(zhí)行以下命令，將證書(shū)轉(zhuǎn)換為OpenSSL安裝目錄cert_name.cer證書(shū)文件。opensslx509-in.pem-out.cer-outformDER

• 問(wèn)：SSL自簽名證書(shū)存在的安全隱患都有什么？

  答：公鑰加密基礎(chǔ)設(shè)施（PKI）中、證書(shū)頒發(fā)機(jī)構(gòu)（CA）必須信任證書(shū)簽名人，以保護(hù)私鑰，并通過(guò)互聯(lián)網(wǎng)在線(xiàn)傳輸信息。然而，在簽署SSL證書(shū)的情況下，CA無(wú)法識(shí)別簽名人或信任它，因此私鑰將不再安全和損壞，這鼓勵(lì)網(wǎng)絡(luò)罪犯攻擊網(wǎng)站并竊取信息。⌈自簽名SSL證書(shū)的缺點(diǎn)⌋：·應(yīng)用/操作系統(tǒng)不信任自簽證證書(shū)，可能導(dǎo)致身份驗(yàn)證錯(cuò)誤等。·低哈希和密碼技術(shù)可用于自簽證。因此，自簽證的安全水平可能不符合當(dāng)前的安全策略。·不支持高級(jí)PKI(公鑰基礎(chǔ)設(shè)施)功能，如網(wǎng)上檢查撤銷(xiāo)列表等。·自簽證的有效期一般為一年，這些證書(shū)每年都需要更新/更換，這是一個(gè)難以維護(hù)的問(wèn)題。⌈在公共場(chǎng)所使用自簽名SSL證書(shū)的風(fēng)險(xiǎn)⌋：與自簽名SSL證書(shū)相關(guān)的安全警告將驅(qū)逐潛在客戶(hù)，因?yàn)樗麄儞?dān)心該網(wǎng)站無(wú)法保護(hù)其憑證，從而損害品牌聲譽(yù)和客戶(hù)信任。⌈在內(nèi)部網(wǎng)站上使用自簽名SSL證書(shū)的風(fēng)險(xiǎn)⌋：在公共網(wǎng)站上使用自簽名證書(shū)的風(fēng)險(xiǎn)很明顯，在內(nèi)部使用也有風(fēng)險(xiǎn)。內(nèi)部網(wǎng)站（如員工門(mén)戶(hù)）上的自簽名證書(shū)仍然會(huì)導(dǎo)致瀏覽器警告。許多組織建議員工忽略警告，因?yàn)樗麄冎纼?nèi)部網(wǎng)站是安全的，但這可能會(huì)鼓勵(lì)危險(xiǎn)的公共瀏覽行為。習(xí)慣于忽視內(nèi)部網(wǎng)站警告的員工可能會(huì)忽略公共網(wǎng)站上的警告，使他們和你的組織容易受到惡意軟件和其他威脅的攻擊。如果自簽名SSL證書(shū)安裝在電子商務(wù)網(wǎng)站上，用戶(hù)會(huì)感受到數(shù)據(jù)和信息被盜的風(fēng)險(xiǎn)，退出購(gòu)物，這也會(huì)影響在線(xiàn)業(yè)務(wù)和所有者的聲譽(yù)。收集用戶(hù)敏感信息和個(gè)人信息的網(wǎng)站不得安裝自簽名SSL證書(shū)。銀行、電子商務(wù)、社交媒體、醫(yī)療保健和政府部門(mén)就是其中之一。公鑰加密基礎(chǔ)設(shè)施（PKI）中、證書(shū)頒發(fā)機(jī)構(gòu)（CA）必須信任證書(shū)簽名人，以保護(hù)私鑰，并通過(guò)互聯(lián)網(wǎng)在線(xiàn)傳輸信息。然而，在簽署SSL證書(shū)的情況下，CA無(wú)法識(shí)別簽名人或信任它，因此私鑰將不再安全和損壞，這鼓勵(lì)網(wǎng)絡(luò)罪犯攻擊網(wǎng)站并竊取信息。⌈自簽名SSL證書(shū)的缺點(diǎn)⌋：·應(yīng)用/操作系統(tǒng)不信任自簽證證書(shū)，可能導(dǎo)致身份驗(yàn)證錯(cuò)誤等。·低哈希和密碼技術(shù)可用于自簽證。因此，自簽證的安全水平可能不符合當(dāng)前的安全策略。·不支持高級(jí)PKI(公鑰基礎(chǔ)設(shè)施)功能，如網(wǎng)上檢查撤銷(xiāo)列表等。·自簽證的有效期一般為一年，這些證書(shū)每年都需要更新/更換，這是一個(gè)難以維護(hù)的問(wèn)題。⌈在公共場(chǎng)所使用自簽名SSL證書(shū)的風(fēng)險(xiǎn)⌋：與自簽名SSL證書(shū)相關(guān)的安全警告將驅(qū)逐潛在客戶(hù)，因?yàn)樗麄儞?dān)心該網(wǎng)站無(wú)法保護(hù)其憑證，從而損害品牌聲譽(yù)和客戶(hù)信任。⌈在內(nèi)部網(wǎng)站上使用自簽名SSL證書(shū)的風(fēng)險(xiǎn)⌋：在公共網(wǎng)站上使用自簽名證書(shū)的風(fēng)險(xiǎn)很明顯，在內(nèi)部使用也有風(fēng)險(xiǎn)。內(nèi)部網(wǎng)站（如員工門(mén)戶(hù)）上的自簽名證書(shū)仍然會(huì)導(dǎo)致瀏覽器警告。許多組織建議員工忽略警告，因?yàn)樗麄冎纼?nèi)部網(wǎng)站是安全的，但這可能會(huì)鼓勵(lì)危險(xiǎn)的公共瀏覽行為。習(xí)慣于忽視內(nèi)部網(wǎng)站警告的員工可能會(huì)忽略公共網(wǎng)站上的警告，使他們和你的組織容易受到惡意軟件和其他威脅的攻擊。如果自簽名SSL證書(shū)安裝在電子商務(wù)網(wǎng)站上，用戶(hù)會(huì)感受到數(shù)據(jù)和信息被盜的風(fēng)險(xiǎn)，退出購(gòu)物，這也會(huì)影響在線(xiàn)業(yè)務(wù)和所有者的聲譽(yù)。收集用戶(hù)敏感信息和個(gè)人信息的網(wǎng)站不得安裝自簽名SSL證書(shū)。銀行、電子商務(wù)、社交媒體、醫(yī)療保健和政府部門(mén)就是其中之一。

• 問(wèn)：如何進(jìn)行SSL證書(shū)查詢(xún)？

  答：1.查看網(wǎng)站是HTTPS鏈接，可手動(dòng)輸入HTTPS鏈接查看網(wǎng)站是否能打開(kāi)，如果能打開(kāi)，說(shuō)明網(wǎng)站部署了SSL證書(shū)。2.查看網(wǎng)站地址欄是否有小鎖或綠色地址欄顯示，這表明網(wǎng)站部署了SSL證書(shū)。相反，如果網(wǎng)站地址欄小鎖叉或顯示“不安全”，則表明網(wǎng)站沒(méi)有部署SSL證書(shū)或部署錯(cuò)誤的SSL證書(shū)。

熱門(mén)SSL證書(shū)產(chǎn)品推薦

證書(shū)等級(jí)	DV（域名級(jí)）SSL證書(shū)	OV（企業(yè)級(jí)）SSL證書(shū)
適用場(chǎng)景	個(gè)人網(wǎng)站、企業(yè)測(cè)試	中小企業(yè)的網(wǎng)站、App、小程序等
驗(yàn)證級(jí)別	驗(yàn)證域名所有權(quán)	驗(yàn)證企業(yè)/組織真實(shí)性和域名所有權(quán)
HTTPS數(shù)據(jù)加密
瀏覽器掛鎖
搜索排名提升
單域名證書(shū)	¥ 150 /年   ¥ 400 /3年 立即購(gòu)買(mǎi)	¥ 720 /年   ¥ 2000 /3年 立即購(gòu)買(mǎi)
通配符證書(shū)	¥ 550 /年   ¥ 1500 /3年 立即購(gòu)買(mǎi)	¥ 1500 /年   ¥ 4200 /3年 立即購(gòu)買(mǎi)