windows2012r2 簽署憑證分別（一）

標籤：

iis有建立域認證和建立自我簽署憑證，以下是分別

還有關於被受信任的頒發機構認證，那個是要錢買的，沒法做個人實驗，這裡不做詳解，由於配置remoteapp的時候，remotedesk可以進行認證簽名，猜測這類公認認證是否可以對其他認證進行簽名，話說這些公認機構賣的認證幾乎是壟斷啊，什麼都不幹就可以隨隨便便的錢，有點小羨慕

 

簽署憑證：由權威頒發機構頒發給伺服器或者個人用於證明自己身份的東西，預設用戶端都是信任的。主要目的是用來加密和保證資料的完整性和不可抵賴性
　　
自我簽署憑證：由伺服器自己頒發給自己，用於證明自己身份的東西，非權威頒發機構發布，預設用戶端都是不信任的，主要目的是用來加密和保證資料的完整性和不可抵賴性,與簽署憑證相同.

 

自簽名的認證無法被吊銷，CA簽名的認證可以被吊銷 能不能吊銷認證的區別在於，如果你的私密金鑰被駭客擷取，如果認證不能被吊銷，則駭客可以偽裝成你與使用者進行通訊 如果你的規劃需要建立多個認證，那麼使用私人CA的方法比較合適，因為只要給所有的用戶端都安裝了CA的認證，那麼以該認證簽名過的認證，用戶端都是信任的，也就是安裝一次就夠了如果你直接用自我簽署憑證，你需要給所有的用戶端安裝該認證才會被信任，如果你需要第二個認證，則還的挨個給所有的用戶端安裝認證2才會被信任。  認證類型：x509的認證編碼格式有兩種1.PEM(Privacy-enhanced Electronic Mail) 是明文格式的  以 -----BEGIN CERTIFICATE-----開頭，已-----END CERTIFICATE-----結尾，中間是經過base64編碼的內容,apache需要的認證就是這類編碼的認證 查看這類認證的資訊的命令為 ：openssl x509 -noout -text -in server.pem其實PEM就是把DER的內容進行了一次base64編碼2.DER 是二進位格式的認證   查看這類認證的資訊的命令為 ：openssl x509 -noout -text -inform der -in server.der  副檔名：.crt 認證檔案 ，可以是DER（二進位）編碼的，也可以是PEM（ ASCII (Base64) ）編碼的 ，在類unix系統中比較常見 .cer 也是認證  常見於Windows系統  編碼類別型同樣可以是DER或者PEM的，windows 下有工具可以轉換crt到cer.csr 認證簽章要求   一般是產生請求以後發送給CA，然後CA會給你簽名並發回認證.key  一般公開金鑰或者密鑰都會用這種副檔名，可以是DER編碼的或者是PEM編碼的  查看DER編碼的（公開金鑰或者密鑰）的檔案的命令為 openssl rsa -inform DER  -noout -text -in  xxx.key  查看PEM編碼的（公開金鑰或者密鑰）的檔案的命令為 openssl rsa -inform PEM   -noout -text -in  xxx.key  .p12 認證  包含一個X509認證和一個被密碼保護的私密金鑰
   easy-rsa的特點是 使用方便不需要記憶大量的命令 而且設定檔裡面有各種資訊可以使你產生帶有擴充資訊的簽名 比如 CA:TRUE等資訊            

windows2012r2 簽署憑證分別（一）