OpenSSL的基础知识小课堂
内容提要
在互联网时代，加密通信至关重要。对称加密使用相同密钥，而非对称加密使用公钥和私钥。非对称加密广泛应用于邮件加密、SSH登录和HTTPS。通过OpenSSL工具，可以生成CA证书和服务器证书，以实现安全通信。自签证书不被浏览器信任，但可通过配置使其受信任。
延伸解读
对称与非对称加密的核心区别
文章通过凯撒加密的例子说明对称加密使用同一密钥，容易被现代计算机破解。而非对称加密使用公钥和私钥，公钥公开、私钥保密，解决了密钥分发问题。这种区别决定了非对称加密更适合开放网络中的安全通信，如HTTPS和SSH。
自签证书的信任问题与解决
自签证书由自己签发，不被浏览器和操作系统默认信任，访问时会提示安全警告。文章展示了两种信任方式：在curl中使用--cacert指定CA证书，或将CA证书导入系统信任库。这解释了为什么自签证书适合内部测试，而公开服务需使用权威CA签发的证书。
证书检查的实用命令
文章提供了多个OpenSSL命令来验证证书：用modulus比对确认密钥与证书匹配，用verify检查证书链，用checkhost验证域名匹配，用purpose查看证书用途。这些检查在收到CA签发的证书后尤为重要，能避免因证书不匹配或用途错误导致的服务异常。
通配符证书的覆盖范围
文章通过Let's Encrypt的证书示例指出，CN字段支持通配符，如*.xnow.me可以匹配xnow.me和test.xnow.me等多个子域名。这意味着通配符证书能简化多子域名的HTTPS配置，但需注意其不覆盖主域名本身（除非额外包含），且私钥泄露会影响所有子域名。
Q&A
对称加密和非对称加密有什么区别？
对称加密使用相同的密钥进行加密和解密，而非对称加密使用一对密钥，公钥公开，私钥保密。
OpenSSL工具可以做什么？
OpenSSL工具可以生成CA证书和服务器证书，以实现安全通信。
自签证书有什么限制？
自签证书不被浏览器信任，使用时会提示安全警告，但可以通过配置使其受信任。
如何生成CA证书？
可以使用OpenSSL命令生成CA证书，具体步骤包括生成密钥和创建证书请求。
非对称加密的应用场景有哪些？
非对称加密广泛应用于邮件加密、SSH登录和HTTPS等场景。
如何让浏览器信任自签证书？
可以将自签证书配置到系统信任库中，或直接在浏览器中导入证书。
