iis - 我可以在不同的 HTTPS 服务器上使用自签名 X.509 证书吗？

Question

我在服务器 1 上使用 Selssl7.exe 创建了我的 SSL 证书，但使用 Cn 作为服务器 2 并将证书托管在服务器 2 上。从 linux firefox 浏览时，我开始收到证书错误:

This certificate is invalid, the certificate is not trusted and is self signed, the certificate is only valid for server1

但是当我从 Windows IE 浏览 URL 时，我只是收到常规错误，提示它不受信任，我可以轻松地将其添加到异常(exception)中。

我们可以在不同的服务器上使用在 server1 上生成的自签名证书吗？

Answer 1

你可以而且你可以这样做，但你这样做几乎会破坏真实性的各个方面。

自签名证书通常是一个问题，因为其他用户不会事先知道这个证书。所以他们的浏览器尽职尽责地发出警告。这就是为什么您必须为将被识别的 TLS 证书付费 - 它们由 CA 颁发，其证书包含在您浏览器的默认信任库中。 CA 必须付费才能“成为俱乐部的一员”，但除此之外，任何人都可以创建证书。这只是被默认设置识别的问题。

但是您通过在不同的服务器上重复使用为专用服务器颁发的证书打开了另一个漏洞。 TLS 证书的使用者专有名称必须与部署它们的服务器的主机名相匹配。这是 TLS 规范强制要求的，因为这是在使用 TLS 时防止中间人攻击的唯一有效措施。打开与服务器的 TLS 连接后，您的代码将检查您连接到的主机名是否与发送的服务器证书的主题 DN 相匹配。只有这样，您才能确保与正确的服务器通信。

因此，总而言之，如果您在不同的主机上重复使用服务器证书，那么您将严重影响 TLS 的安全性。当然，这仍然是可能的，但是如果您将安全性削弱到这种程度，那么您最好还是首先使用纯 HTTP。