关于自签名SSL

Question

所以我刚刚找到了一个关于创建自签名证书的教程。很自然地，我跟着它创造了一个。然后我继续浏览我的浏览器，以便通过HTTPS访问我的服务器，并显示 Google Chrome 的黄色警告，说明证书无效和证书不信任。

为了让每台机器（不仅仅是开发）接受我的SSL证书（绿色），我有从VeriSign或类似机构购买证书，或者有什么办法可以检查我的或类似的，以免花钱？

编辑：顺便说一句我不确定我是否需要SSL加密，我不是在做电子商务，只是一个POST登录表单我不想是纯文本（感谢wireshark）

Answer 1

是的，你绝对这样做。如果您没有在现实世界中确认您的身份的有效CA，为什么有人会信任您？ Joe Hacker可以向letmestealyourssn.com发出自签名证书，并声称该网站完全安全且合法，因为他说是的。所以不，网络不会接受你的意见或安装你的证书。

但是，如果您想要一个真正的SSL证书而不花钱，那就有StartSSL，如果您愿意最终花一些钱，那么在您完成微调之后网站，Comodo，提供90天的试用期。两者都要求您以某种方式在现实世界中识别自己，但是您将获得真正的SSL证书，浏览器将显示您希望它们显示的绿色条。

WORD of CAUTION： CA有时会遭到黑客入侵，并且他们的证书可能会被列入黑名单，因此如果您希望人们信任您的网站，请务必注意抓住最便宜的SSL。如果发生这种情况，有适当的缓解程序，但是CA越小，经验越少或投资越多，它们实施起来就越慢，如果有的话。 StartSSL got hacked in 2011但黑客无法发放假证书，因此他们仍可以用于一般用途。对于真正的电子商务，我强烈建议VeriSign。你会把这笔钱拿回去，并且减少头痛。

Answer 2

它无效，因为用户必须安装已签署证书的根证书（您的CA的根证书）。您可以让用户安装您的根证书，但这会打败“我相信你”的全部内容。

公司出售证书的原因很容易生成，大多数机器都附带已经安装的大名称根证书。然后他们必须保持根的完整性;加上费用，他们会更进一步，以验证谁购买证书。