DEV Community
·
使用自建根CA创建自签名证书
内容提要
如今，几乎所有项目都使用SSL证书。Let's Encrypt提供免费证书，但无法用于本地环境，因此需要生成自签名证书。为避免自签名证书被标记为不安全，可以创建自己的根CA。使用OpenSSL生成根CA的公钥和私钥后，用其签署SSL证书。要在设备上信任自建的根CA，需要在Windows、Firefox或Linux中安装和更新证书。
关键要点
-
几乎所有项目都使用SSL证书。
-
Let's Encrypt提供免费证书，但无法用于本地环境。
-
需要生成自签名证书以在本地使用SSL。
-
自签名证书会被标记为不安全，需创建自己的根CA以避免此问题。
-
使用OpenSSL生成根CA的公钥和私钥。
-
生成根CA后，可以使用其签署SSL证书。
-
创建SSL证书时，首先生成私钥，然后创建证书请求。
-
自签名证书不需要发送给CA，可以自己生成。
-
在Windows中安装根CA证书需将其保存为.crt文件并使用证书管理器安装。
-
Firefox用户需将根CA证书添加到Firefox证书存储中。
-
在Linux中，将根CA证书复制到证书文件夹并更新CA证书存档。
延伸解读
自签名证书的安全性问题
自签名证书在本地环境中使用时，通常会被标记为不安全。这是因为它们没有经过公认的证书颁发机构（CA）签署。因此，创建自己的根CA并信任其证书是解决这一问题的有效方法。这样可以确保在本地开发和测试时，SSL连接不会被浏览器或操作系统标记为不安全。
根CA的创建与管理
创建自己的根CA需要使用OpenSSL生成公钥和私钥，并签署SSL证书。用户需注意，根CA的私钥必须妥善保管，以防止被恶意使用。此外，安装根CA证书的步骤在不同操作系统中有所不同，用户应根据自己的环境选择合适的方法进行安装和更新。
自签名证书的适用场景
自签名证书适合用于开发和测试环境，尤其是在无法使用Let's Encrypt等公共CA的情况下。然而，在生产环境中，仍建议使用由公认CA签发的证书，以确保用户的信任和数据的安全性。
延伸问答
如何生成自签名证书？
首先需要创建自己的根CA，然后使用根CA签署SSL证书。可以使用OpenSSL生成根CA的公钥和私钥，并创建证书请求。
为什么需要创建自己的根CA？
创建自己的根CA可以避免自签名证书被标记为不安全，从而在本地环境中安全使用SSL证书。
在Windows中如何安装根CA证书？
将根CA证书保存为.rootCA.crt文件，然后使用Windows证书管理器安装该证书。
如何在Linux中信任自建的根CA？
将根CA证书复制到证书文件夹，并更新CA证书存档，使用命令cp rootCA.pem /usr/local/share/ca-certificates/和update-ca-certificates --fresh。
自签名证书的安全性如何？
自签名证书会被标记为不安全，因此需要创建自己的根CA来避免这种标记。
使用OpenSSL生成根CA的命令是什么？
生成根CA的命令为：openssl genrsa -out rootCA.key 2048 和 openssl req -x509 -new -nodes -key rootCA.key -days 1024 -out rootCA.pem。
