自签名SSL证书生成指南

一、概述

1. 简介

SSL 证书（Secure Sockets Layer Certificate），现多称为 TLS 证书（Transport Layer Security Certificate），是一种由受信任的证书颁发机构（CA）签发的数字凭证，用于在客户端（如浏览器、App）与服务器之间建立加密通信通道，并验证服务器身份，从而保障数据传输的机密性、完整性与真实性。

工作流程简述：

1. 用户访问 https://example.com；
2. 服务器将 SSL/TLS 证书发送给客户端；
3. 客户端（浏览器）验证证书：

• 是否由可信 CA 签发；
• 域名是否匹配；
• 是否在有效期内；

4. 验证通过后，双方通过密钥交换算法（如 ECDHE）协商生成会话密钥；
5. 后续所有通信均使用该会话密钥进行对称加密传输，确保高效与安全。

2. 核心作用

3.常见证书文件格式说明

二、证书生成与转换

1.生成 JKS 证书（适用于 Tomcat ≤10）

生成服务端 JKS 密钥库（含私钥 + 自签名证书），添加 Subject Alternative Name（SAN），支持多域名/IP，现代浏览器强制要求 SAN。

keytool -genkeypair \
  -alias meeting \
  -keyalg RSA \
  -keysize 2048 \
  -validity 3660 \
  -keystore meeting.jks \
  -storepass '1234qwer' \
  -keypass '1234qwer' \
  -dname "CN=meeting.com, OU=IT Department, O=INFREE, L=Chengdu, ST=Sichuan, C=CN" \
  -ext san=dns:meeting.com,ip:192.168.1.55

从 JKS 导出公钥证书（供客户端信任）

keytool -exportcert \
  -alias meeting \
  -keystore meeting.jks \
  -file meeting.cer \
  -storepass '1234qwer' \
  -rfc

2.生成 PKCS#12 证书（推荐用于 Tomcat 8.5+）

生成私钥和证书签名请求

# 生成私钥
openssl genrsa -out meeting.key 2048

# 生成带 SAN 的自签名证书
openssl req -new -x509 \
  -key meeting.key \
  -out meeting.crt \
  -days 3660 \
  -subj "/C=CN/ST=Sichuan/L=Chengdu/O=INFREE/OU=IT Department/CN=meeting.com" \
  -addext "subjectAltName = DNS:meeting.com,IP:192.168.1.55"

打包为 PKCS#12 格式

openssl pkcs12 -export \
  -in meeting.crt \
  -inkey meeting.key \
  -out meeting.p12 \
  -name "meeting" \
  -passout pass:'P@ssw0rd'

3.客户端安装公钥证书（Windows）

目的：使系统/浏览器信任自签名证书，消除“不安全”警告。

操作步骤：

1. 双击 meeting.cer 文件；
2. 点击 “安装证书...”；
3. 选择 “本地计算机” → 下一步；
4. 选择 “将所有证书放入下列存储” → 点击 “浏览”；
5. 选择 “受信任的根证书颁发机构” → 确定 → 完成；
6. 若提示安全警告，确认导入；
7. 重启浏览器，访问 https://meeting.com:8443 应显示安全锁图标

4.CRT转CER

PEM格式适用于现代系统（Windows 10/11、Linux、macOS），DER格式仅在目标设备明确要求二进制证书时使用（如老旧嵌入式系统）。

方法1：直接重命名

如果CRT文件是PEM格式（以-----BEGIN CERTIFICATE-----开头），可以直接修改文件扩展名：

mv certificate.crt certificate.cer

方法2：使用OpenSSL转换

如果CRT是DER格式，需要转换为PEM格式的CER：

openssl x509 -in meeting.crt -inform der -out meeting.cer -outform pem

5.PEM 转 PKCS#12

适用于 Let's Encrypt 等 PEM 证书源。.pem是编码格式，Base64 编码的文本格式，可封装：证书、私钥、CA 链等。安全性取决于内容：若含私钥，则需按私钥级别保护。

openssl pkcs12 -export \
  -in fullchain.pem \          # 包含服务器证书 + 中间CA
  -inkey privkey.pem \         # 私钥
  -out keystore.p12 \          # 输出 PKCS#12
  -name "tomcat" \             # 别名
  -passout pass:1234qwer       # 密码

三、SSL/TLS 协议版本与安全建议

1. 支持的 SSL/TLS 协议版本

最佳实践：

• 服务器配置应仅启用 TLS 1.2 和 TLS 1.3；
• 禁用弱加密套件（如 RC4、DES、MD5、SHA1）；

四、其他

1.有效期

• Chrome 浏览器：虽未硬性限制自签名证书有效期，但超过 10 年的证书可能触发更严厉的安全警告（如红色锁 + “您的连接不是私密连接”）。
• 企业环境：部分安全策略、终端防护软件或浏览器扩展会主动拦截长期有效的自签名证书。
• 最佳实践：自签名证书有效期建议 ≤ 2 年（730 天），便于定期轮换与安全管理。