SSL為什么不通過自己的CA啟用Apache？

Question

我購買了一個域名。 我建立了一個部署在Apache上的網站，該網站可以在我的域中訪問，當前在http協議“端口80”上。 我現在想為此Apache服務器配置SSL。 我正在評估以下2個選項。

選項＃1：創建“證書簽名請求”（CSR），然后在充當CA的同時，創建基於CSR的證書，然后將Apache創建的證書配置為在端口443上運行。

選項2：我創建CSR，然后將CSR提交給Symantec等廣為人知的CA以獲得證書。 然后，我使用Symantec提供的證書將Apache配置為在端口443上運行。

選項1的缺點是什么？

從最終用戶“有人訪問我的網站”的角度來看，他們有什么跡象表明我使用了選項1？

使用選項＃1假設我無法讓最終用戶訪問我的網站以獲得綠色欄菜單是否正確？

Answer 1

使用選項1，最終用戶無法確定自己沒有被欺騙。 由於您是自己的CA，因此最終用戶必須決定是否信任您。 如果他們這樣做，他們很可能會信任已經攔截了您的請求並使用了自己的證書的人。

使用選項2時，用戶將信任提供您證書的CA，並且可以更加確信沒有發生中間人攻擊。

出於某些目的，您自己的自簽名證書也可以。 不適用於任何真正的電子商務。