Sectigo SSL证书

提升品牌形象和可信度

部署SSL证书的网站将显示浏览器地址栏中的https绿色安全锁。如果是部署的EVSSL证书，还将显示绿色地址栏和单位名称。它可以告诉用户，他们访问的是安全可信的网站，可以放心操作和交易，有效提升公司的品牌信息和可信度。

认证网站身份，防止假冒

在没有证书的网站上，黑客可以伪造一个类似于网站的域名来制作钓鱼网站。在网站部署了值得信赖的SSL证书后，用户可以识别该网站是否为官方网站。浏览器内置安全机制，实时检查证书状态，通过浏览器显示安全锁、绿色地址栏、单位名称、证书信息，显示网站身份、认证信息，使用户能够轻松识别网站的真实身份，防止假冒。

网站信息加密防止篡改

SSL证书最重要的是确保数据安全。过去，HTTP协议以明确的方式发送内容，攻击者可以轻松拦截客户端和网站服务器传输的明确数据，直接获取重要信息；HTTPS协议对数据进行了加密，第三方根本无法窃听。

SSL证书允许网站加密传输，可以防止用户隐私信息，如用户名、密码、交易记录、居住信息等。

我们知道证书链的概念，所以，通过服务器返回网站证书路径，我们通过终端证书-中间证书-根证书逐步验证，如果在信任证书列表中找到根证书可以签署证书链上的证书，证书是信任的。这很容易实现，因为JavaJDK帮助我们实现了必要的验证逻辑，并且对客户端是透明的，使用默认的TrustManager：

SSLContextcontext=SSLContext.getInstance("TLS");

///Trustmanager传null将使用系统默认的“SunX509”TrustManager

context.init(null,null,null);

URLurl=newURL("https://www.baidu.com");

HttpsURLConnectionconnection=(HttpsURLConnection)url.openConnection();

connection.setSSLSocketFactory(context.getSocketFactory());

InputStreamis=connection.getInputStream();

当SSLContextinit方法的第二个参数传输到null时，Trustmanager将使用默认的Sunx509实现，代码如下：

TrustManagerFactorymgr=TrustManagerFactory.getInstance(TrustManagerFactory.getDefaultAlgorithm())

mgr.init((KeyStore)null);

TrustManager[]var2=var4.getTrustMan·agers();

当然，功能也可以在TrustManager上扩展，但除非场景极其特殊，否则一般不建议做。上述验证方法在Android系统中基本相似。在启动REST接口访问时，可以根据场景使用不同的验证方法。那么，当网站嵌入网站时，如何保证访问的安全呢？以下是网站的一些方法：

当webview加载页面时，将对证书进行验证。当验证错误时，将回调该方法。Ssleror对象将传递证书。您可以在这里进行自定义验证。自定义验证逻辑可以对传入的证书进行任何自定义验证。同时，通过以上分析，可以看出，要求的安全取决于客户端和服务器之间的许多合同。同时，客户端对证书的验证是整个保证的基础。

v

1、生成加密自签名（SSL）证书

使用命令：

opensslreq-new-x509-newkeyrsa:2048-keyout/data/server.key-out/data/server.crt

注:执行命令后，需要输入密码，然后依次输入国家、地区、城市、组织、组织单位、Commonname和Email。其中，Commonname，可以写自己的名字或域名，如果要支持https，Commonname应该与域名保持一致，否则会引起浏览器警告。

2、生成不加密的签名（SSL）证书

1)生成私钥

使用openssl工具生成RSA私钥

opensslgenrsa-des3-out/data/server.key2048

注：生成rsa私钥，des3算法，2048位强度，server.key是一个密钥文件名，生成一个私钥，要求您输入这个key文件的密码至少提供四个密码，因为您必须在生成时输入密码。您可以在输入后删除它（因为它将来会被nginx使用。每次reloadnginx配置，您都需要验证此PAM密码）。

2)删除密码

mv/data/server.key/data/server.key.org（或cp/data/server.key/data/server.key.org）

opensslrsa-in/data/server.key.org-out/data/server.key

3)生成CSR(证书签名请求)

生成私钥后，根据这个key文件生成证书请求csr文件

使用OpenSSL实现自签名，具体操作如下：

opensslreq-new-key/data/server.key-out/data/server.csr

注:执行命令后，需要输入密码，然后依次输入国家、地区、城市、组织、组织单位、Commonname和Email。其中，Commonname，可以写自己的名字或域名，如果要支持https，Commonname应该与域名保持一致，否则会引起浏览器警告。

4)生成自签名crt证书

最后，根据key和csr生成crt证书文件

openslx509-req-days3650-in/data/server.csr-signkey/data/server.key-out/data/server.crt