云計(jì)算服務(wù)
服務(wù)器租用
DDOS 防護(hù)
虛擬主機(jī)
域名服務(wù)
基礎(chǔ)設(shè)施
關(guān)于我們
SSL證書(shū)通常由哪兩個(gè)關(guān)鍵文件構(gòu)成？
SSL證書(shū)的核心組成
SSL證書(shū)的部署依賴(lài)兩個(gè)不可或缺的文件：私鑰文件（.key）與證書(shū)文件（.crt或.pem）。這兩個(gè)文件共同實(shí)現(xiàn)服務(wù)器身份驗(yàn)證和數(shù)據(jù)加密功能，缺一不可。
私鑰文件（Private Key）
私鑰文件以.key為擴(kuò)展名，在證書(shū)生成過(guò)程中由服務(wù)器自主創(chuàng)建。該文件具備以下特性：
- 唯一加密憑證：用于解密由對(duì)應(yīng)公鑰加密的傳輸數(shù)據(jù)
- 高敏感文件：須嚴(yán)格限制訪問(wèn)權(quán)限（建議設(shè)置為600）
- 不可再生性：丟失后無(wú)法恢復(fù)，必須重新簽發(fā)證書(shū)
典型生成命令：openssl genrsa -out server.key 2048
證書(shū)文件（Certificate File）
證書(shū)文件通常包含.crt或.pem擴(kuò)展名，由證書(shū)頒發(fā)機(jī)構(gòu)（CA）簽發(fā)，包含以下核心信息：
- 服務(wù)器公鑰
- 域名/IP地址等主體信息
- CA的數(shù)字簽名
- 證書(shū)有效期
證書(shū)鏈完整性驗(yàn)證命令：openssl verify -CAfile ca_bundle.crt server.crt
文件協(xié)同工作原理
當(dāng)客戶(hù)端發(fā)起HTTPS請(qǐng)求時(shí)：
- 服務(wù)器發(fā)送證書(shū)文件供客戶(hù)端驗(yàn)證身份
- 客戶(hù)端使用CA公鑰驗(yàn)證證書(shū)簽名
- 協(xié)商會(huì)話(huà)密鑰時(shí)使用證書(shū)中的公鑰加密
- 服務(wù)器通過(guò)私鑰文件解密建立安全通道
常見(jiàn)配置錯(cuò)誤
實(shí)際部署中需特別注意：
- 公私鑰不匹配導(dǎo)致SSL握手失敗
- 證書(shū)鏈不完整引發(fā)瀏覽器警告
- 文件權(quán)限設(shè)置不當(dāng)造成安全隱患
驗(yàn)證文件匹配性命令：openssl x509 -noout -modulus -in server.crt | openssl md5openssl rsa -noout -modulus -in server.key | openssl md5
文件管理最佳實(shí)踐
- 私鑰文件離線(xiàn)存儲(chǔ)于安全介質(zhì)
- 定期輪換證書(shū)文件（推薦90天有效期）
- 使用自動(dòng)化工具監(jiān)控證書(shū)到期時(shí)間
- 配置HTTPS嚴(yán)格傳輸安全（HSTS）策略
.png)
.png)
