自签名CA和自签名证书之间的区别

4 回答

• 49

  两个选项都有效，选项2更简单 .

  当您需要多个证书时，最好选择1（设置您自己的CA） . 在公司中，您可以设置自己的CA并在所有客户端的根密钥库中安装该CA的证书 . 然后，这些客户将接受您的CA签署的所有证书 .

  选项2（没有CA的自签名证书）更容易 . 如果您只需要一个证书，那么这就足够了 . 将它安装在客户的密钥库中，您就完成了 . 但是当您需要第二个证书时，您需要在所有客户端上再次安装它 .

  这是一个链接，提供更多信息：Creating Certificate Authorities and self-signed SSL certificates

  回复于 2024-04-20T05:51:07+08:00
• 57

  首先，关于密钥和证书（关于“CA密钥”）之间的区别，在谈论公钥证书（通常是X.509）时使用了3个部分：公钥，私钥和证书 . 公钥和私钥形成一对 . 您可以使用私钥进行签名和解密，您可以验证（签名）并使用公钥进行加密 . 公钥旨在分发，而私钥旨在保密 .

  公钥证书是公钥和各种信息之间的组合（主要是关于密钥对的所有者的身份，谁控制私钥），这种组合使用发行者的私钥进行签名 . 证书 . X.509证书具有主题专有名称和颁发者专有名称 . 颁发者名称是颁发证书的实体的证书的主题名称 . 自签名证书是发行人和主题相同的特殊情况 . 通过签署证书的内容（即发布证书），发行者断言其内容，特别是密钥，身份（主题）和各种属性（可以指示用户的意图或使用范围）之间的绑定 . 证书） .

  除此之外，PKIX规范定义了一个扩展（给定证书的一部分），它指示证书是否可以用作CA证书，即它是否可以用作另一个证书的颁发者 .

  由此，您可以在最终实体证书（您要为用户或服务器验证的证书）和您信任的CA证书之间构建一系列证书 . 在您的服务的最终实体证书和您信任的CA证书之间可能存在中间CA证书（由其他CA证书颁发） . 您不需要在顶部使用根CA（自签名CA证书），但通常情况如此（如果您愿意，可以选择直接信任中间CA证书） .

  对于您的用例，如果您为特定服务生成自签名证书，那么它是否具有CA标志（基本约束扩展）并不重要 . 您需要它才能成为CA证书才能发布其他证书（如果您想构建自己的PKI） . 如果为此服务生成的证书是CA证书，则不应造成任何伤害 . 更重要的是您可以将客户端配置为信任该特定服务器的证书（例如，浏览器应该可以让您轻松地做出明确的异常） . 如果配置机制遵循PKI模型（不使用特定的例外），因为不需要构建链（只有一个证书），您应该能够直接导入证书作为信任锚的一部分 . 您的客户端，无论是否是CA证书（但这可能取决于客户的配置机制）客户） .

  回复于 2024-04-20T05:51:07+08:00
• 5

  您可以 openssl x509 -noout -text -in $YOUR_CERT 查看文件内容之间的差异：

  在自签名CA中，您可以看到：

  X509v3 extensions:                                                          
          X509v3 Basic Constraints:
              CA:TRUE, pathlen:0
  

  在您的自签名证书中，它是：

  X509v3 extensions:                                                          
          X509v3 Basic Constraints:
              CA:FALSE
  

  回复于 2024-04-20T05:51:07+08:00
• 1

  您必须始终拥有根CA，CA具有可用于签署较低级别证书的密钥和可以嵌入客户端上已接受的根证书中的根证书，并用于验证较低的证书以检查它们是有效的 . 自签名意味着您是自己的CA.每当创建自签名证书时，您都会创建一个ca，然后使用该CA签署一个站点证书 .

  回复于 2024-04-20T05:51:07+08:00