1. CA证书理解？CA证书的作用？

CA证书顾名思义就是由CA（Certification Authority）机构发布的数字证书。要对CA证书完全理解及其作用，首先要理解SSL。SSL（security sockets layer，安全套接层）是为网络通信提供安全及数据完整性的一种安全协议。SSL3.0版本以后又被称为TLS。SSL位于TCP与各应用层之间，是操作系统向外提供的API。SSL如何保证网络通信的安全和数据的完整性呢？就是采用了两种手段：身份认证和数据加密。首先身份认证就需要用到CA证书了。先了解CA证书具体包括哪些内容：

颁发者
使用者
版本
签名算法
签名哈希算法
使用者
公钥
指纹
指纹算法
……
上述中颁发者、使用者、版本等内容好理解，颁发者就是CA机构，下面会讲到。对于签名算法、签名哈希算法的理解，首先要先理解签名是什么东东？联系到实际情况，当我们向某机构提供报告时，往往在报告最后加上个人的名字，以表示该报告是我本人的。签名在网络通讯中的应用称为数字签名，当服务器向客户端发送信息时，会将报文生成报文摘要，同时对报文摘要进行hash计算，得到hash值，然后对hash值进行加密，然后将加密的hash值放置在报文后面，这个加密后的hash值就称为签名。服务器将报文、签名和数字证书一同发送给客户端。客户端收到这些信息后，会首先验证签名，利用签名算法对签名进行解密，得到报文摘要的hash值，然后将得到的报文生成报文摘要并利用签名hash算法生成新的hash值，通过对比这两个hash值是否一致，就能判断信息是否完整，是否是由真正的服务器发送的。可知签名有两个作用确认消息发送方可靠，确认消息完整准确。

上面提到了hash值的加密，我们还需要理解SSL的加密机制，在使用SSL的网络通讯过程中，消息在请求和响应中都是加密传送的。首先要知道加密算法分为两种：对称加密和非对称加密。对称加密就是发送双发使用相同的密钥对消息进行加解密，常见的对称加密为DES、3DES,AES等。非对称加密是发送双方各自拥有一对公钥私钥，其中公钥是公开的，私钥是保密的。当发送方向接收方发送消息时，发送方利用接收方的公钥对消息进行加密，接收方收到消息后，利用自己的私钥解密就能得到消息的明文。其中非对称加密方法有RSA、Elgamal、ECC等。此处只是简单了说明了这两种加密机制的过程，若要深入理解它们的原理、过程请搜索相应的资料，很容易搜索到。

好了，了解了签名原理和两种加密机制，我们继续理解网络通讯中是怎么利用CA证书进行身份认证的？客户端与服务端需要经过一个握手的过程才能完成身份认证，建立一个安全的连接。握手的过程如下：

1. 客户端访问服务器（比如：https://www.12306.cn）,发送ssl版本、客户端支持的加密算法、随机数等消息。
2. 服务器向客户端发送ssl版本、随机数、加密算法、证书（证书出现了）等消息。
3. 客户端收到消息后，判断证书是否可信（如何判断可信，看下文介绍），若可信，则继续通信，发送消息包括：向服务器发送一个随机数，从证书中获取服务器端的公钥，对随机数加密；编码改变通知，表示随后信息都将使用双方协定的加密方法和密钥发送；客户端握手结束通知。
4. 服务器端对数据解密得到随机数，发送消息：编码改变通知，表示随后信息都将使用双方协定的加密方法和密钥发送。

以上就是整个握手的过程，在第三步实际上就完成了身份的认证，第四、五步是进行密钥的商定，因为非对称加密算法对数据加密非常慢，效率低，而对称加密加密效率很高，因此在整个握手过程要生成一个对称加密密钥，然后数据传输中使用对称加密算法对数据加密。可知ssl整个握手过程包括身份认证、密钥商定。上述讲述ssl的握手过程比较简单，想要深入理解ssl原理，下面这篇博文讲的不错：
https://segmentfault.com/a/1190000002554673
一定要看上面的博文，否则无法彻底理解证书使用的原理。

2.客户端是如何验证CA证书是可信任的？

一般来说，现在公共网站数据传输都是使用SSL，即通过https协议访问。Https就是http加SSL。在上面SSL握手过程中，客户端是如何验证服务器发送的CA证书呢？我们以12306网站为例进行说明，此时，客户端就是浏览器，如果我们是第一次访问12306网站，使用https://www.12306.cn地址访问，返回如下结果：

提示此网站的安全证书有问题，说明证书不可信，如果我们忽略证书不可信，继续访问网站，打开12306网页，在首页提供一个根证书的下载，见下页面：

下载根证书，安装完毕，再次访问12036网站，就不会提示网站的安全证书有问题了。这是什么机制呢？

打开【工具】菜单（360浏览器为例），然后选择【内容】选项卡，点击【证书】按钮，打开证书窗口，选择【中级证书颁发机构】，会看到已经安装的12306的证书：

只要安装上12306证书，就说明证书是可信的。使用https协议访问时，服务器发送证书向浏览器时，首先查找该证书是否已在信任列表中，然后对证书进行校验，校验成功，那么就证明证书是可信的。另外，证书的认证是安装证书链执行的，证书链的意思是有一个证书机构A，A生成证书B，B也可以生成证书C，比如在证书窗口中有一个360证书，见下图：

360证书的颁发者是certification authority of wosign，在【受信任的根证书颁发机构】中，我们会看到该证书：见下图，

也就是说，certification authority of wosign生成360证书，360可以生成其它的证书。A证书或者certification authority of wosign证书在整个证书链上就被称为根证书，证书验证的机制是只要根证书是受信任的，那么它的子证书都是可信的。比如说，我们使用https协议访问了需要360证书的网站，即使我们不安装360证书，那么网站也不会提示证书不安全，因为，生成360证书的根证书certification authority of wosign证书，在受信任的证书列表中。如果一个证书的根证书是不可信的，那么这个证书肯定也是不可信任的。

由以上可知，根证书在证书验证中极其重要，而且，根证书是无条件信任的，只要我们将根证书安装上，就说明我们对根证书是信任的。比如我们安装12306的根证书，是出于我们对国家的信任，对网站的信任，我们才放心安装这个根证书。对于一些不安全的网站的证书，一定要慎重安装。

另外需要知道的是，【受信任的根证书颁发机构】中的证书是windows预先安装的一些证书，都是国际上很有权威的证书机构，他们证书的生成都有很严格的流程，因此他们的证书被认为是安全，就像我们相信银行是安全，所以把钱存入到银行。

3.有哪些CA机构？

世界上较早的数字认证中心是美国的verisign公司，在windows的证书窗口中可以看到好多verisign公司生成的证书，见下图：

另外还有加拿大的ENTRUST公司，也是很著名的证书机构。中国的安全认证体系分为金融CA和非金融CA。在金融CA方面，根证书由中国人民银行管理，在非金融CA方面，由中国电信负责。中国CA又可分为行业性CA和区域性CA,行业性CA中影响最大是中国金融认证中心和中国电信认证中国；区域性CA主要是以政府为背景，以企业机制运行，其中广东CA中心和上海CA中影响最大。

4.自签名证书的如何生成、安装？

有时候，我们在内部系统传输数据需要使用SSL协议，对数据加密，但是我们又不想花钱去申请CA，这个时候可以使用自签名CA，实现数据加密传输的功能。首先要明确一点就是自签名证书是不安全的，存在安全漏洞，具体看下面的博文介绍：

为什么”自签名SSL证书”不安全？
https://www.wosign.com/FAQ/selfsigned_SSL_insecure.htm

自签名证书使用jdk中的keytool生成即可，看似神秘，但实际上比较简单，见下博文：

如何利用keytool工具生成数字证书
https://jingyan.baidu.com/article/b0b63dbfe18eff4a483070f4.html

自签名证书的安装也很简单，见下博文：

添加自签发的 SSL 证书为受信任的根证书
https://cnzhx.net/blog/self-signed-certificate-as-trusted-root-ca-in-windows/

在java编程中，使用socket网络编程，实现SSL协议，对服务器的证书需要导入到客户端的秘钥库中，这样才能完成自动认证，具体实现见下博文：

JAVA SSL SOCKET通信服务器端客户端证书双向认证
http://blog.csdn.net/matt8/article/details/45071815

我们再日常使用的系统中会用到很多签名的地方,
再win中 控制台输入certmgr.msc

随机查看证书—

OpenSSL

OpenSSL—安全套接字协议
在计算机网络上，OpenSSL是一个开放源代码的软件库包，应用程序可以使用这个包来进行安全通信，避免窃听，同时确认另一端连接者的身份。这个包广泛被应用在互联网的网页服务器上。

几个关键词—

• CSR

证书签名请求文件

• CRT

证书

• key

私钥

以上知识一些基础的内容,我们再来说OpenSSL,首先他是一个协议—安全套接字协议,他的核心就是通过加密传输时的数据来保证信息不被非法窃取,保护用户隐私;

申请CA证书

openssl通过加密算法来实现.
openssl下载–linux版

openssl下载–win版

下载之后安装openssl,安装后的目录

通过start.bat启动openssl
在D盘key文件夹下生成密钥文件

C:\Users\Gavin>openssl genrsa -des3 -out d:/key/server.key
Enter PEM pass phrase:
Verifying - Enter PEM pass phrase:

私钥文件—

生成私钥，需要提供一个至少4位，最多1023位的密码

由私钥创建待签名的证书----即公钥

C:\Users\Gavin>openssl.exe req -new -key d:/key/server.key -out d:/key/pub.csr

依次输入国家，地区，城市，组织，组织单位，Common Name和Email,如果要支持https，Common Name应该与域名保持一致，否则会引起浏览器警告。

最后 生成的文件

查看证书内容—

C:\Users\Gavin>openssl.exe req -text -in d:/key/pub.csr -noout

以上申请证书的准备工作就做好了

自建CA

创建CA密钥

C:\Users\Gavin>openssl.exe genrsa -out D:/key/gavinca.key 2048
#默认长度也是2048

生成CA待签名证书

C:\Users\Gavin>openssl.exe req -new -key  d:/key/gavinca.key -out d:/key/gavinca.csr
You are about to be asked to enter information that will be incorporated
into your certificate request.
What you are about to enter is what is called a Distinguished Name or a DN.
There are quite a few fields but you can leave some blank
For some fields there will be a default value,
If you enter '.', the field will be left blank.
-----
Country Name (2 letter code) [AU]:cn
State or Province Name (full name) [Some-State]:cn
Locality Name (eg, city) []:cn
Organization Name (eg, company) [Internet Widgits Pty Ltd]:cn
Organizational Unit Name (eg, section) []:cn
Common Name (e.g. server FQDN or YOUR name) []:cn
Email Address []:cn

Please enter the following 'extra' attributes
to be sent with your certificate request
A challenge password []:cn
An optional company name []:cn

生成CA根证书

C:\Users\Gavin>openssl.exe x509 -req -in d:/key/gavinca.csr -extensions  v3_ca -signkey d:/key/gavinca.key -out d:/key/gavinca.crt
Warning: ignoring -extensions option without -extfile
Certificate request self-signature ok
subject=CN = cn, ST = gavin, L = cn, O = future, OU = cn, CN = cn, emailAddress = cn

实际上我们的证书不需要存储到本地计算机,而是在浏览器中存储区会有相应的证书

以edge为例子---->>

设置---->>管理证书

所以https的加密传输需要网站支持----->>申请CA证书

小结—>>

申请CA证书的步骤;

• 1,生成自己的私钥
• 2,根据私钥生成公钥
  生成该公钥需要携带一些信息—
• 3,申请CA证书

模拟https加密流程

• 准备好密钥及证书

服务器端准备-----
准备一个私钥

C:\Users\Gavin>openssl genrsa -des3  -out d:/key/server.key
Enter PEM pass phrase: #加密server.key
Verifying - Enter PEM pass phrase:

根据私钥生成一个公钥—即待签名的证书

C:\Users\Gavin>openssl req -new -key d:/key/server.key -out d:/key/pub.csr
Enter pass phrase for d:/key/server.key:
You are about to be asked to enter information that will be incorporated
into your certificate request.
What you are about to enter is what is called a Distinguished Name or a DN.
There are quite a few fields but you can leave some blank
For some fields there will be a default value,
If you enter '.', the field will be left blank.
-----
Country Name (2 letter code) [AU]:CN
State or Province Name (full name) [Some-State]:SD
Locality Name (eg, city) []:YTL
Organization Name (eg, company) [Internet Widgits Pty Ltd]:YTL
Organizational Unit Name (eg, section) []:YTL
Common Name (e.g. server FQDN or YOUR name) []:TYL
Email Address []:12345678@YTL.COM

Please enter the following 'extra' attributes
to be sent with your certificate request
A challenge password []:1234
An optional company name []:YTL

生成CA证书–

C:\Users\Gavin>openssl.exe x509 -req -in d:/key/pub.csr -extensions  v3_ca -signkey d:/key/server.key -out d:/key/server.crt
Enter pass phrase for d:/key/server.key:
Warning: ignoring -extensions option without -extfile
Certificate request self-signature ok
subject=C = CN, ST = SD, L = YT, O = CodeM, OU = CODE, CN = Gavin, emailAddress = 12345678@hah.com

生成的证书还没有得到认证,因此无效的,没有 被信任.

需要对证书进行签名后才能内使用,这里就不用大机构来认证了,自己整一个CA进行认证;

• CA认证跟证书申请

----csr的过程类似:

准备CA的密钥:

C:\Users\Gavin>openssl.exe genrsa -out d:/key/serverca.key 2048

生成待签名的证书----公钥:

C:\Users\Gavin>openssl.exe req -new -key  d:/key/serverca.key -out d:/key/serverca.csr
You are about to be asked to enter information that will be incorporated
into your certificate request.
What you are about to enter is what is called a Distinguished Name or a DN.
There are quite a few fields but you can leave some blank
For some fields there will be a default value,
If you enter '.', the field will be left blank.
-----
Country Name (2 letter code) [AU]:USA
String too long, must be at most 2 bytes long
Country Name (2 letter code) [AU]:UK
State or Province Name (full name) [Some-State]:LD
Locality Name (eg, city) []:LD
Organization Name (eg, company) [Internet Widgits Pty Ltd]:LD
Organizational Unit Name (eg, section) []:LD
Common Name (e.g. server FQDN or YOUR name) []:KD
Email Address []:LDLDKD@haha.com

Please enter the following 'extra' attributes
to be sent with your certificate request
A challenge password []:1234
An optional company name []:LD

生成CA根证书

C:\Users\Gavin>openssl.exe x509 -req -in d:/key/serverca.csr -extensions v3_ca -signkey d:/key/serverca.key -out d:/key/serverca.crt
Warning: ignoring -extensions option without -extfile
Certificate request self-signature ok
subject=C = LD, ST = LD, L = LD, O = LD, OU = LD, CN = LD, emailAddress = 1234567@haha.com

对根证书进行签名

C:\Users\Gavin>openssl x509 -days 365 -req -in d:/key/pub.csr -extensions v3_req -CAkey d:/key/serverca.key -CA d:/key/serverca.crt -CAcreateserial -out d:/key/server.crt
Warning: ignoring -extensions option without -extfile
Certificate request self-signature ok
subject=C = CN, ST = SD, L = YTL, O = YTL, OU = YTL, CN = TYL, emailAddress = 12345678@YTL.COM
#x509 协议 ,days 有效期  -req 请求  ---即由服务器的公钥要经过ca的私钥serverca.key ca公钥(证书) 认证(加密/解密)生成 经过认证的证书

再看CA颁发的证书—即服务器证书经过CA认证后的

有了证书之后,还需要注册到系统中
安装证书即可;

再次查看证书状态

至此证书申请和认证完毕;
https 加密的使用

注意:Common Name，可以写自己的名字或者域名，如果要支持https，Common Name应该与域名保持一致，否则依旧会引起浏览器警告。

CA证书的应用---->> 如果网站要对外提供服务就需要对网站进行认证