專用服務器/客戶端的自簽名證書安全性

Question

我已經讀過很多書，由於缺乏安全性，不應在生產中使用自簽名證書，但是我想知道，如果我是唯一應該連接到服務器的人，是否仍然存在安全風險？ 是否出於某種原因更容易破解自簽名證書？ 我正在創建服務器和客戶端應用程序，其他人連接的唯一方法是創建自己的客戶端。 這意味着每次我安裝客戶端時，我也可以將證書添加到受信任的根證書中。

還是在消息級別繼續使用RSA / AES自己的加密實現更安全？ 我之所以要使用SSL的原因是，它使用起來要容易得多，尤其是當我要流媒體時，因為不必分塊發送它。

Answer 1

我已經讀過很多書，由於缺乏安全性，因此不應在生產中使用自簽名證書。

自簽名證書本身也不錯，如果正確完成，也可以在生產中使用。

如果對等方能夠正確驗證證書，則可以安全使用。 通常的驗證是基於瀏覽器或操作系統中包含的某些受信任的根CA進行的。 但是，無法以這種方式驗證自簽名證書，並不表示它根本無法驗證，原因是：

• 您可以將其顯式添加為受信任的瀏覽器/ OS的證書存儲。
• 在確認您在瀏覽器中獲得的證書實際上是您所知道的證書之后，可以在首次使用時進行例外處理（通過比較指紋，而不僅僅是對象）。
• 如果您擁有自己的應用程序，則可以交付該應用程序，以便它（僅）信任此證書。

當然，將證書顯式導入為受信任證書或在瀏覽器中進行例外設置並不能很好地擴展，因為這樣做是針對每個用戶完成的。 這就是CA簽名證書的重點：證書被隱式信任，因為它是由受信任的人簽名的，而不是每個用戶都必須手動驗證和信任證書。 這也是您要在生產中使用CA簽名證書的唯一原因。 只要證書已正確驗證，它是否是自簽名的都沒有關系。

還是在消息級別繼續使用RSA / AES自己的加密實現更安全？

除非您真正了解自己在做什么，否則請不要運行自己的加密貨幣。 在這種情況下，SSL提供了您所需的一切，但您必須知道如何正確使用它。