自签证书的 SSL 有没有哪怕一点点的加密效果？

[nikoo]

自签证书后用 Chrome 通过 HTTPS 访问会显示不安全（ Not secure ）

这种自签证书能否一定程度上加密 HTTP 流量，使非针对性的，例如免费 WIFI 之类的监控网关失效？

（知道有很多免费或者廉价的 SSL 可以申请，本问题是自签证书不通过任何第三方证书颁发机构）

[chenset]

加密效果与认证签一致. 第三方只是提供了认证而已. "访问会显示不安全" 是浏览器没法确定来源.

1.加密保证传输数据安全.
2.认证保证数据来源.
是这个意思吧?

[czb]

自签并不会影响加密强度 自签的安全保障是每次看证书的 hash 值

[mooncakejs]

自签再添加 ca 证书，对你自己而言，和买的没什么两样

[klesh]

楼上说得都对。
介意提示就把你的 ca 证书添加到 chrome 里

[nikoo]

@chenset @czb @mooncakejs @klesh

非常感谢！
那么一个只有我自己使用的 WEB 应用，我使用自签证书也是可以达到安全的目的了？

[mooncakejs]

@nikoo 理论上只有自己用更安全了， 因为 你的 ca 是你自己，不可能被仿冒证书。 君不见 12306 就用自己的 ca 证书。

[senghoo]

可以做到加密，但是有人中间人攻击你就不知道了。
除非你自签个根在本地设为信任，然后签个证书给你的服务器。

[stabc]

自己建就自己信任就好，相当于.ssh/known_hosts

[johnlui]

HTTPS 本来就是为了更安全的，只是后来出现了认证的生意，才把可信这些高级特性加进去。。。

[mornlight]

自己一个人用的话把这个证书添加信任就行了，其他的加密流程都一样。

[xenme]

@nikoo 理论上来说，如果只有你自己用，自签证书比外面的更安全。

[ryd994]

自己添加 ca，不要忽略伪造的 CA 就好。
Cloudflare 那个回源证书不就是这么回是

[klesh]

难得，这次竟然意见如此统一。

[neilp]

可以防止被动的嗅探攻击,

对主动攻击有一定的作用, 增加其 cpu 内存 开销.

[wenzhoou]

https://letsencrypt.org/getting-started/ 随便搞个证书还不是美滋滋。

[nVic]

@wenzhoou 这个远远不如花钱买的 geotrust 省事放心

[gongjianwei]

https://acme.sh

[msg7086]

@nVic 这个和花钱买的证书没有什么区别。

[johnlui]

@nVic 一名合格的程序员应该能够一眼看出证书生意背后的垄断暴利本质

[lun10439547]

@johnlui
@msg7086

三个月到期，生产环境万一出 bug 过期一次。。。那就呵呵了。。个人认为，不管是 个人还是企业网站，专心做站做应用的就不应该用这么不稳定的证书！
任他暴力好了，也才外面一顿饭的钱，也比过期访问不了来的好，买了省心，安心做站。

[johnlui]

@lun10439547 不好意思，开发环境我都没用过 lets encrypt …

[johnlui]

@lun10439547 这里讨论的是自签名证书的加密，楼主也描述了他的场景确实适合用自签名证书。我们顺带揭露了一下证书生意的垄断暴利的本质。人在屋檐下不得不低头，生产环境一个证书我都要花几百美元买，我不傻。反观你这条回复，我认为你是为了赢而赢，不好，并不是一个逻辑。

[lun10439547]

@johnlui 我是看评论里的逻辑顺序来回答你的。

[thecon]

@msg7086 花钱买的证书相当于是一个大家都信任的权威机构发出来的证书， 你因为这个权威性付费。
但是再权威的机构也没有你自己更可信啊，所以自签证书应该比买来的更安全。

[wenzhoou]

反正 lets encrypt 快到期了就会给我发邮件让我更新的。个人网站这么搞。本番当然花钱买了放到 Hsm 里面啦。

[Silicon]

自签名证书的问题是如何让用户信任你自签名证书的颁发机构

这个问题解决了就没其他问题了

[msg7086]

@thecon 说的 let's encrypt 的证书。

@lun10439547 生产环境你跟我说不做证书过期监控？那才叫呵呵了。
3 个月到期，满 2 个月后邮件提醒，再加上证书过期监控提前半个月报警，你这样要是能证书过期，真的这网站就别做了。

[ouqihang]

为什么买的证书不警告，是因为系统内置信任证书列表，那些机构签的证书就被信任了。。。