ssl - 为什么 SSL 不使用自己的 CA 启用 Apache？

Question

我购买了一个域名。我建立了一个部署在 Apache 上的网站，可以在我的域中访问，目前在 http 协议“端口 80”上。我现在想为这个 Apache 服务器配置 SSL。我正在评估以下 2 个选项。

选项 #1：我创建“证书签名请求”(CSR)，然后在充当 CA 时，我根据 CSR 创建证书，然后使用我创建的证书将 Apache 配置为在端口 443 上运行。

选项 #2：我创建 CSR，我将我的 CSR 提交给像赛门铁克这样的知名 CA 以获得证书。然后，我使用 Symantec 提供的证书将 Apache 配置为在端口 443 上运行。

选项 #1 的缺点是什么？

从最终用户的角度来看“有人访问我的网站”，他们有什么迹象表明我使用了选项 #1？

使用选项 #1 假设我无法让最终用户访问我的站点以获取绿色条形菜单是否正确？

Answer 1

使用选项 1，最终用户不相信他们没有被欺骗。因为您是自己的 CA，所以最终用户必须决定是否信任您。如果他们这样做 - 他们很可能会信任截获您的请求并使用他们自己的证书的人。

使用选项 2，用户信任提供您的证书的 CA，并且可以更加确信没有发生中间人攻击。

出于某些目的，您自己的自签名证书可以。但不适用于任何真正的电子商务。