2015-10-27
重點部分標(biāo)紅
如果網(wǎng)站需要提供https加密訪問方式，那么必須擁有一個有效的ssl證書來向客戶端證明自己的身份。而ssl證書通常由第三方機構(gòu)簽發(fā)，有Domain Validation (DV), Organisation Validation (OV) 和 Extended Validation (EV)三種級別，分別對應(yīng)由低到高的三種認證級別，DV比較寬松，EV最嚴格。認證方式不同，價格也不同。比如DV級別的證書，StartSSL可免費申請一年，GeoTrust是149$每年，Godaddy是69.99$每年，我國的萬網(wǎng)價格是4200￥每年。個人使用當(dāng)然是StartSSL提供的證書性價比最高，雖然免費，但依然在Chrome，F(xiàn)irefox，IE等主流瀏覽器的內(nèi)置受信任根證書頒發(fā)機構(gòu)里面，如果是商業(yè)或機構(gòu)使用，可選擇頂級的證書頒發(fā)機構(gòu)（當(dāng)然不包括萬網(wǎng)之流），彰顯身份。下面就說明如何在startssl.com上申請免費證書，并部署到IIS上進行使用的步驟。
1. 首先需要在startssl.com上進行注冊。該網(wǎng)站采用的是客戶端證書認證方式，所以注冊的過程就是填寫自己的資料，郵件接收驗證碼，之后獲得并在瀏覽器中安裝StartSSL生成的一個客戶端證書。這樣以后以自己身份登錄startssl.com時，就需要從安裝了上述步驟證書的瀏覽器里直接訪問startssl.com，而不需要輸入用戶名密碼了。這個身份驗證證書丟失后，只能重新注冊，所以建議將該證書備份，具體步驟見How do I backup my client certificates。備份好后，可將該證書安裝到其他計算機或瀏覽器，便于登陸startssl.com。
2. 注冊之后，若要給某個域名申請證書，需要對域名進行驗證，證明你是這個域名的擁有者才行。StartSSL采用的是域名擁有者郵箱驗證，所以在Validations Wizard里選擇Domain Name Validation，按照向?qū)瓿沈炞C即可。
3. 接下來就是給通過驗證的域名申請ssl證書。在Certificates Wizard中選擇Web Server SSL/TLS Certificate，然后會進入創(chuàng)建私鑰（Generate Private Key）步驟。 
由于SSL/TLS采用的是非對稱加密，所以必須私鑰和公鑰配合才能建立正確的安全連接。私鑰由服務(wù)器端持有，保密，私有；公鑰包含在客戶端訪問https網(wǎng)站時看到的證書內(nèi)，公開，當(dāng)客戶端訪問時即獲得之。公鑰和私鑰正確配對后方可建立安全連接。填入對私鑰文件保護的10位以上密碼，繼續(xù)， 
即可得到一段加密文本，將該文本保存為.key的文件，比如privatekey.key，作為私鑰保存好。這里你也可以預(yù)先利用openssl工具或IIS向?qū)砩砂约侯~外信息，并且包含私鑰的證書申請（.csr文件），這樣就可以跳過Generate Private Key這步了。之后選擇要為哪個域名創(chuàng)建證書，并且輸入一個子域名，最終申請的證書會作用在這個子域名上。 
StartSSL的免費證書只能給一個子域名用，若想為多個子域名申請證書或申請通配符形式的證書，則需要掏錢購買他們提供的class2級證書了。繼續(xù)下一步，確認之后，可以得到一段文本，該文本便是StartSSL頒發(fā)給你網(wǎng)站的經(jīng)過簽名的證書，將其另存為.crt文件，比如ssl.crt（此證書即是網(wǎng)站客戶端訪問https連接時能夠得到的文件，實質(zhì)是包含了公鑰，服務(wù)器名稱，CA認證簽名及其他信息的文件）。此外在該界面上最好根據(jù)提示，保存下來一個中間（intermediate）證書文件sub.class1.server.ca.pem，有的地方可能會用到。
到此，我們得到了一個privatekey.key的私鑰文件，一個ssl.crt的證書文件（包含公鑰），一個sub.class1.server.ca.pem中間證書文件。在給自己的網(wǎng)站配置ssl.crt公有證書文件之前，我們還需生成兩個在其他地方可能會用到的文件。第一個是經(jīng)過解密的私鑰文件（decrypted private key），比如在Nginx部署證書時需要用到。此步驟可通過openssl工具或startssl.com網(wǎng)站提供的Toolbox–>Decrypt Private Key工具完成，將結(jié)果保存為decryptedprivatekey.key。第二個是PKCS#12存檔文件（*.pfx或*.p12），實質(zhì)是包含了.crt證書文件所有內(nèi)容，私鑰以及加密信息的文件，而在IIS中部署時就需要用到此文件?？衫胹tartssl.com網(wǎng)站提供的Toolbox–>Create PKCS#12 (PFX) File工具，傳入私鑰文件privatekey.key及證書文件ssl.crt后，生成之，保存為pfxarchive.p12。
4. 在域名所對應(yīng)的計算機上部署該證書，此處以IIS為例。操作過程很簡單，在IIS根節(jié)點的服務(wù)器證書功能中，右鍵，導(dǎo)入，根據(jù)向?qū)л斎雱偛诺玫降膒fxarchive.p12文件即可， 最后，在IIS網(wǎng)站綁定中，指定443端口使用我們導(dǎo)入的證書即可。 
這樣，在以https訪問此網(wǎng)站時，就能夠看到我們申請的證書了。 
