security - 我可以将自签名 SSL 证书用于商业目的吗？

Question

我正在制作一个服务器客户端以使用 ssl 进行注册和登录过程。
(如果重要的话，这是针对 iPhone 的)

我刚刚开始研究什么是 ssl 以及如何使用它，并且
看到过程中有一个证书，可以购买或自签。

如果我在 Web 服务器中使用自签名证书，Web 浏览器会警告该证书是自签名的，我理解。
但是如果我在常规应用程序中使用自签名证书和 tcp(不是 http)，特别是 iphone，会发生什么。

I just want to make the signup/logininfo(their password) to be secure,
and hoping that using self-signedcertificate would be ok for thispurpose. But I also need to makesure this won't cause "not trustedcertificate - alert" type ofinterruption when used in applicationother than a web browser.

• 编辑

我知道“不可信证书警报”是说客户端不应该信任此服务器。

但在我的情况下，客户端不需要向服务器进行身份验证。
服务器只需要以安全的方式获取客户端的密码。

Answer 1

回答你的问题:你可以，但你不应该!

首先，仅将 SSL 用于身份验证根本不安全。身份验证过程可能会产生某种 session (例如 cookie)，然后在不加密的情况下进行传输。因此， session 可能被窃取(参见 Session hijacking )。

其次，使用自签名证书允许 man-in-the-middle attacks .所以，有人可以窃取用户的密码，而他可能根本不会注意到。用户不知道客户端收到您的自签名证书时弹出的警报与攻击者使用自签名证书时显示的弹出窗口之间的区别。

我的建议:不要使用自签名证书。发生攻击时，对您和您的客户都是不利的。