作者rickysu (Ricky)
看板PHP
标题Re: [请益] 关於SSL凭证设定
时间Wed Aug 28 09:48:50 2013
※ 引述《besta2013 (hahabesta)》之铭言：
: 最近在安装SSL碰到了一些问题,有些疑问,
: http 传输, 封包如果被截取会是明码
: https传输, 封包如果被截取会是乱码,
: 在apache设定上是否只要加入
: 1.LoadModule ssl_module modules/mod_ssl.so
: 2.Listen 443
: 此时连上https就会有加密的功能,一定要设定凭证吗,才有加密吗?
: 凭证的目的是?
SSL 要解决的问题除了加密传输之外，另一个就是身份验证。
举个例子
今天你连上了 Gmail 输入的帐号密码做登入，
虽然你可以确认你的帐号密码不会被人中途劫走，
但是你怎麽知道你连上的是真的Gmail，而不是一个伪造的网站(例如变造DNS资讯)。
这时候就得靠凭证来验证身份。
每个浏览器都会内建一堆凭证(根凭证，由一些权威机构对外公开)。
接着你得向这些 "权威机构" 申请凭证，这些机构会对你作一些身份的确认。
看凭证的种类，大部分都只是确认你是这个网址的拥有者。
最近开始推行 EV ssl 凭证，除了验证网址之外，
他还会进行实体的身份验证 (讲白一点他会做身家调查，确保你不是诈骗集团)
申请到的凭证就会随着你的网站一起公开，
当别人连上你的网站时，他就可以使用浏览器内建的凭证去检验你的凭证是否正确。
这样就可以确认你是这个网址的拥有者，而不是一个假冒的。
当然你也可以自己签一个凭证给自己，
只是其他人连上你的网站时，就无法验证这个凭证的有效性。
浏览器就会跳出警告，说无法验证有效性。
--
※ 发信站: 批踢踢实业坊(ptt.cc)
◆ From: 220.130.136.115
1F：推 chaoms:大大说的自签凭证，有分给伺服器端和用户端，用户端有装 08/28 14:16
2F：推 chaoms:自签凭证就不会有警告讯息。 08/28 14:18
3F：推 LPH66:你说的用户端其实就是文中所讲的"根凭证" 08/28 16:54
4F：→ LPH66:也就是把自家的凭证放进根凭证里而已 08/28 16:55
5F：→ LPH66:之所以我们能信赖那些凭证的有效性就是因为我们信赖发根凭证 08/28 16:56
6F：→ LPH66:的第三方权威机构的关系 08/28 16:56
7F：→ LPH66:那将自家放进根凭证就代表你相信自家这个凭证而已 08/28 16:59