Re: [請益] 關於SSL憑證設定

[rickysu (Ricky)]

※ 引述《besta2013 (hahabesta)》之銘言：
: 最近在安裝SSL碰到了一些問題,有些疑問,
: http 傳輸, 封包如果被截取會是明碼
: https傳輸, 封包如果被截取會是亂碼,
: 在apache設定上是否只要加入
: 1.LoadModule ssl_module modules/mod_ssl.so
: 2.Listen 443
: 此時連上https就會有加密的功能,一定要設定憑證嗎,才有加密嗎?
: 憑證的目的是?

SSL 要解決的問題除了加密傳輸之外，另一個就是身份驗證。

舉個例子

今天你連上了 Gmail 輸入的帳號密碼做登入，
雖然你可以確認你的帳號密碼不會被人中途劫走，
但是你怎麼知道你連上的是真的Gmail，而不是一個偽造的網站(例如變造DNS資訊)。
這時候就得靠憑證來驗證身份。
每個瀏覽器都會內建一堆憑證(根憑證，由一些權威機構對外公開)。
接著你得向這些 "權威機構" 申請憑證，這些機構會對你作一些身份的確認。
看憑證的種類，大部分都只是確認你是這個網址的擁有者。
最近開始推行 EV ssl 憑證，除了驗證網址之外，
他還會進行實體的身份驗證 (講白一點他會做身家調查，確保你不是詐騙集團)

申請到的憑證就會隨著你的網站一起公開，
當別人連上你的網站時，他就可以使用瀏覽器內建的憑證去檢驗你的憑證是否正確。
這樣就可以確認你是這個網址的擁有者，而不是一個假冒的。

當然你也可以自己簽一個憑證給自己，
只是其他人連上你的網站時，就無法驗證這個憑證的有效性。
瀏覽器就會跳出警告，說無法驗證有效性。

--
※ 發信站: 批踢踢實業坊(ptt.cc) 
◆ From: 220.130.136.115
推 chaoms:大大說的自簽憑證，有分給伺服器端和用戶端，用戶端有裝
推 chaoms:自簽憑證就不會有警告訊息。
推 LPH66:你說的用戶端其實就是文中所講的"根憑證"
→ LPH66:也就是把自家的憑證放進根憑證裡而已
→ LPH66:之所以我們能信賴那些憑證的有效性就是因為我們信賴發根憑證
→ LPH66:的第三方權威機構的關係
→ LPH66:那將自家放進根憑證就代表你相信自家這個憑證而已