什么是自签名证书及其工作原理？

最后更新于 3 3 月, 2025 由 Dionisie Gitlan

您是否想过如何在没有第三方参与的情况下建立安全连接？这就是自签名证书发挥作用的地方。但什么是自签名证书，什么情况下应该使用自签名证书？

在本文中，我们将深入探讨自签名证书，探讨它们的工作原理、优缺点以及何时适合使用。您还将了解如何创建自己的证书并防范与之相关的风险。

什么是自签名证书？

自签证书是由拥有该证书的实体而不是受信任的证书颁发机构（CA）签署的数字证书。与受信任 CA 签发的证书不同，自签证书不需要外部验证。因此，自签名证书在公共网络中的信任度不高，但适合特定情况。

从 CA 订购证书时，您必须提交证书签名请求（CSR），以验证您的证书和网站所有权。相比之下，自签名证书则由生成证书的私钥签名。此过程创建的证书可在受信任的内部环境中使用。

生成自签名证书就像创建自己的安全通行证，而不是从可信的权威机构获取。虽然它适用于私人内部使用，但面向公众的网站不接受它。如果你正在运行任何需要用户在线信任的程序，获得可信证书是你唯一的选择。

自签名证书依靠加密原理建立安全连接。具体操作如下

接下来，让我们探讨一下自签名证书的利弊。

在某些使用情况下，自签名证书有几个优点：

自签名证书固然有其优点，但也有很大的缺点：

自签证书与受信任证书颁发机构颁发的证书的主要区别在于谁签署证书。受信任的第三方 CA（如DigiCert或Comodo ）可验证证书所有者的身份，并确认域名所有权甚至组织的法律地位。以下是区分这些证书类型的主要因素：

信任级别：浏览器、操作系统和设备信任有效的 SSL 证书，不会显示安全警告。另一方面，自签名证书在外部网络上会引发SSL 连接错误，仅在内部工作时不会中断。
成本：自签证书是免费的，而 CA 签发的证书既可以是免费的，也可以是商业性的，这取决于它们的安全保障和签发者。
使用案例：自签名证书适用于测试、开发或内部服务器、
CA 签发的证书是实时网站在用户浏览器和网站服务器之间加密数据所必需的。

自签名 SSL 证书尽管有其局限性，但在一些情况下还是很有用的：

由于自签名证书的性质，它们几乎没有相当大的风险：

生成私钥：

openssl genrsa -out privatekey.pem 2048

生成的私钥将用于签署证书。
创建证书签名请求（CSR）：

openssl req -new -key privatekey.pem -out certrequest.csr

系统会提示你输入国家名、组织单位和通用名（域名）等详细信息。
生成自签名证书：

openssl x509 -req -days 365 -in certrequest.csr -signkey privatekey.pem -out selfsigned.crt

该命令将创建有效期为 365 天的自签名证书。

以管理员身份打开 PowerShell
按 Win + X，然后选择Windows PowerShell（管理员）。
使用以下单一命令创建自签名证书并将其放入本地计算机的证书存储区：

New-SelfSignedCertificate -DnsName "example.com" -CertStoreLocation "cert:\LocalMachine\My"

将 “example.com “替换为所需的域名或证书名。
如果需要导出证书供其他地方使用，可以使用以下命令。如果只需要本地机器存储中的证书，则可选择此步骤。

$cert = Get-ChildItem -Path Cert:\LocalMachine\My | Where-Object { $_.Subject-like "*example.com*"}。}Export-Certificate -Cert $cert -FilePath "C:\path\to\certificate.cer" Export-PfxCertificate -Cert $cert -FilePath "C:\path\to\certificate.pfx" -Password (ConvertTo-SecureString -String "YourPassword" -Force -AsPlainText)

根据需要调整文件路径和密码。