SSL證書(shū)百科

常見(jiàn)問(wèn)題

• 問(wèn)：如何進(jìn)場(chǎng)SSL證書(shū)格式轉(zhuǎn)換？

  答：不同的Web服務(wù)器支持不同的證書(shū)格式。您需要將簽發(fā)的證書(shū)轉(zhuǎn)換為適用于當(dāng)前Web服務(wù)器的格式，以便正常安裝SSL證書(shū)。本文介紹了如何轉(zhuǎn)換證書(shū)格式。您可以參考以下方法實(shí)現(xiàn)證書(shū)格式之間的轉(zhuǎn)換：將JKS格式證書(shū)轉(zhuǎn)換為PFX格式您可以使用JDK自帶的Keytool工具，將JKS格式證書(shū)文件轉(zhuǎn)換為PFX格式。例如，您可以執(zhí)行以下命令，并將其轉(zhuǎn)換為PFX格式。cert_name.jks證書(shū)文件轉(zhuǎn)換為cert_name.pfx證書(shū)文件。keytool-importkeystore-srckeystoreD:\.jks-destkeystoreD:\.pfx-srcstoretypeJKS-deststoretypePKCS12(本文證書(shū)名稱為cert_name例如：證書(shū)文件名稱為例cert_name.pem，證書(shū)密鑰文件名稱為cert_name.key。在實(shí)際使用過(guò)程中，您需要cert_name更換為您的證書(shū)名稱。)（Keytool該工具是JDK中自帶的密鑰管理工具，可以制作出來(lái)Keystore（jks）您可以從官方地址下載JDK工具包獲取格式證書(shū)文件。JDK\jre\bin\security\目錄下。）將PFX格式證書(shū)轉(zhuǎn)換為JKS格式您可以使用JDK自帶的Keytool工具，將PFX格式證書(shū)文件轉(zhuǎn)換為JKS格式。例如，您可以執(zhí)行以下命令，并將其轉(zhuǎn)換為JKS格式。cert_name.pfx證書(shū)文件轉(zhuǎn)換為cert_name.jks證書(shū)文件。keytool-importkeystore-srckeystoreD:\.pfx-destkeystoreD:\.jks-srcstoretypePKCS12-deststoretypeJKS將PEM，KEY或CRT格式證書(shū)轉(zhuǎn)換為PFX格式證書(shū)您可以使用OpenSSL工具，將KEY格式密鑰文件，PEM或CRT格式公鑰文件轉(zhuǎn)換為PFX格式證書(shū)文件。例如，將您的KEY格式密鑰文件轉(zhuǎn)換為PFX格式證書(shū)文件。cert_name.keyPEM格式公鑰文件cert_name.pem復(fù)制到OpenSSL工具安裝目錄，使用OpenSSL工具執(zhí)行以下命令，將證書(shū)轉(zhuǎn)換為OpenSSL工具安裝目錄cert_name.jks證書(shū)文件。opensslpkcs12-export-out.pfx-inkey.key-in.pem將PFX格式證書(shū)轉(zhuǎn)換為PFX格式證書(shū)PEM，KEY或CRT格式您可以使用OpenSSL工具將PFX格式證書(shū)文件轉(zhuǎn)換為KEY格式密鑰文件，PEM或CRT格式公鑰文件。例如，您的PFX格式證書(shū)文件cert_name.pfx復(fù)制到OpenSSL安裝目錄，使用OpenSSL工具執(zhí)行以下命令，將證書(shū)轉(zhuǎn)換為OpenSSL安裝目錄cert_name.pem證書(shū)文件和KEY格式密鑰文件cert_name.key。執(zhí)行opensslpkcs12-in.pfx-nokeys-out.pem。執(zhí)行opensslpkcs12-in.pfx-nocerts-out.key-nodes。將CER格式證書(shū)轉(zhuǎn)化為PEM格式您可以使用OpenSSL工具將CER格式證書(shū)文件轉(zhuǎn)換為PEM格式證書(shū)。例如，將您的CER格式證書(shū)文件cert_name.cer復(fù)制到OpenSSL安裝目錄，使用OpenSSL工具執(zhí)行以下命令，將證書(shū)轉(zhuǎn)換為OpenSSL安裝目錄cert_name.pem證書(shū)文件。opensslx509-in.cer-out.pem-outformPEM將PEM格式證書(shū)轉(zhuǎn)化為CER格式您可以使用OpenSSL工具將PEM格式證書(shū)文件轉(zhuǎn)換為CER格式證書(shū)文件。例如，將您的PEM格式證書(shū)文件cert_name.pem復(fù)制到OpenSSL安裝目錄，使用OpenSSL工具執(zhí)行以下命令，將證書(shū)轉(zhuǎn)換為OpenSSL安裝目錄cert_name.cer證書(shū)文件。opensslx509-in.pem-out.cer-outformDER

• 問(wèn)：SSL證書(shū)格式都有哪些？

  答：常見(jiàn)的Web服務(wù)軟件通?；贠penSSL和Java兩個(gè)基本密碼庫(kù)。Tomcat.Weblogic.JBossJava提供的密碼庫(kù)通常用于Web服務(wù)軟件。通過(guò)JavaDevelopmentKit（JDK）生成工具包中的Keytool工具JavaKeystore（JKS）格式證書(shū)文件。Apache.Nginx在Web服務(wù)軟件中，OpenSSL工具提供的密碼庫(kù)通常用于生成PEM.KEY.CRT等格式的證書(shū)文件。IBMWeb服務(wù)產(chǎn)品，如Websphere.IBMHttpServer（IHS）等等，一般使用IBM產(chǎn)品自帶的iKeyman工具，生成KDB格式的證書(shū)文件。微軟WindowsServer中的InternetInformationServices（IIS）使用Windows自帶的證書(shū)庫(kù)生成PFX格式的證書(shū)文件。以下表格介紹了文件的常見(jiàn)格式。您可以參考以下表格來(lái)區(qū)分具有后綴擴(kuò)展名稱的證書(shū)文件。1.文件后綴：*.DER或*.CER文件類型：二進(jìn)制格式注：只包含證書(shū)信息，不包括私鑰。2.文件后綴：*.CRT文件類型：二進(jìn)制格式或文本格式注：只包含證書(shū)信息，不包括私鑰。3.文件后綴：*.PEM文件類型：文本格式注：一般存放證書(shū)或私鑰，或同時(shí)包含證書(shū)和私鑰。*.PEM如果文件只包含私鑰，一般使用*.KEY文件代替。4.文件后綴：*.PFX或*.P12文件類型：二進(jìn)制格式說(shuō)明:同時(shí)包含證書(shū)和私鑰，一般有密碼保護(hù)。(說(shuō)明證書(shū)格式可以相互轉(zhuǎn)換)您可以使用記事本直接打開(kāi)證書(shū)文件。若顯示規(guī)則數(shù)字字母(如下所示)，則證書(shū)文件為文本格式。—–BEGINCERTIFICATE—–MIIE5zCCA8+gAwIBAgIQN+whYc2BgzAogau0dc3PtzANBgkqh...—–ENDCERTIFICATE—–如果存在——BEGINCERTIFICATE——，說(shuō)明這是證書(shū)文件。如果存在—–BEGINRSAPRIVATEKEY—–，這意味著這是一個(gè)私鑰文件。

• 問(wèn)：SSL證書(shū)生成流程是什么？

  答：步驟1：生成私鑰一般來(lái)說(shuō)，我們使用openSSL工具來(lái)生成RSA私鑰。說(shuō)明：生成rsa私鑰，des3算法，2048強(qiáng)度，server.Key是一個(gè)秘密文件名。注：通常需要至少4位的密碼才能生成私鑰。步驟2：在CSR生成私鑰之后，這時(shí)就可以創(chuàng)建csr文件了。這個(gè)時(shí)候可以有兩種選擇。理想情況下，證書(shū)可以發(fā)送給證書(shū)頒發(fā)機(jī)構(gòu)(SSL證書(shū)申請(qǐng))，簽名證書(shū)會(huì)在CA驗(yàn)證申請(qǐng)人身份后出具。說(shuō)明：國(guó)家、地區(qū)、城市、組織、組織單位、CommonName、CommonName、Email。CommonName可以寫(xiě)下自己的名字或域名，如果要支持https，CommonName應(yīng)與域名一致，否則會(huì)引起瀏覽器警告。步驟3：刪除私鑰中的密碼在創(chuàng)建私鑰的第一步中，必須指定密碼。但是，這個(gè)密碼通常會(huì)有副作用。這個(gè)副作用是Apache每次啟動(dòng)Web服務(wù)器都要求重新輸入密碼，非常不方便。刪除私鑰中的密碼，操作如下:cpserver.keyserver.key.orgopenSSLrsa-inserver.key.org-outserver.key步驟4：生成自簽證書(shū)假如你不想花錢讓CA簽名，或只是測(cè)試SSL的具體實(shí)現(xiàn)?，F(xiàn)在就可以開(kāi)始生成SSL證書(shū)了。值得注意的是，在使用自簽臨時(shí)證書(shū)時(shí)，瀏覽器會(huì)提示證書(shū)的頒發(fā)機(jī)構(gòu)不得而知。注:crt上有證書(shū)持有人信息、持有人公鑰、簽名人簽名等信息。如果用戶安裝了這個(gè)證書(shū)，說(shuō)明大家都信任這個(gè)證書(shū)，所以也會(huì)有公鑰，比如服務(wù)器認(rèn)證，客戶端認(rèn)證，或者簽其他證書(shū)。步驟5：安裝私鑰和證書(shū)將私鑰和證書(shū)文件復(fù)制到Apache的配置目錄中，在Mac10.10系統(tǒng)中，將其復(fù)制到/etc/apache2/目錄就可以了。然后生成SSL證書(shū)的步驟就結(jié)束了。國(guó)內(nèi)SSL證書(shū)市場(chǎng)上有很多品牌，但如果證書(shū)安全且不貴的品牌可能不多。建議您關(guān)注Positive，RapidSSL，這些證書(shū)品牌，如JoySSL。一般而言，價(jià)格并不昂貴，而且這些都是由全球權(quán)威機(jī)構(gòu)簽發(fā)的，證書(shū)兼容性好，全球可信。JoySSL證書(shū)價(jià)格優(yōu)惠，產(chǎn)品安全可信。它提供各種免費(fèi)的SSL證書(shū)，包括單域名、多域名、通配符等。用戶可以在購(gòu)買前申請(qǐng)?bào)w驗(yàn)試用。

熱門(mén)SSL證書(shū)產(chǎn)品推薦

證書(shū)等級(jí)	DV（域名級(jí)）SSL證書(shū)	OV（企業(yè)級(jí)）SSL證書(shū)
適用場(chǎng)景	個(gè)人網(wǎng)站、企業(yè)測(cè)試	中小企業(yè)的網(wǎng)站、App、小程序等
驗(yàn)證級(jí)別	驗(yàn)證域名所有權(quán)	驗(yàn)證企業(yè)/組織真實(shí)性和域名所有權(quán)
HTTPS數(shù)據(jù)加密
瀏覽器掛鎖
搜索排名提升
單域名證書(shū)	¥ 150 /年   ¥ 400 /3年 立即購(gòu)買	¥ 720 /年   ¥ 2000 /3年 立即購(gòu)買
通配符證書(shū)	¥ 550 /年   ¥ 1500 /3年 立即購(gòu)買	¥ 1500 /年   ¥ 4200 /3年 立即購(gòu)買