SSL加密原理概述
SSL（Secure Sockets Layer，安全套接層）加密通過結合非對稱加密和對稱加密的方式，在客户端（如瀏覽器）和服務器之間建立安全的通信通道。其核心目標是保障數據傳輸的機密性、完整性和身份認證。
SSL工作流程
| 階段 | 核心動作 | 關鍵技術與目的 |
|---|---|---|
| 1. 握手階段 | 客户端與服務器交換支持的加密算法、隨機數，並驗證服務器證書合法性。 | - 協商加密算法 - 交換隨機數（Client Random/Server Random） - 通過 CA 證書驗證服務器身份 |
| 2. 密鑰生成階段 | 客户端用服務器公鑰加密預主密鑰併發送，雙方通過隨機數和預主密鑰計算會話密鑰（對稱加密密鑰）。 | - 非對稱加密傳輸預主密鑰（RSA/ECC） - 對稱密鑰生成（AES 等） - 確保密鑰安全協商 |
| 3. 加密通信階段 | 雙方使用會話密鑰對稱加密數據，並附加 MAC（消息認證碼）校驗完整性。 | - 對稱加密傳輸數據（高效安全） - MAC 防止篡改（如 HMAC-SHA256） |
| 4. 會話結束階段 | 客户端或服務器發送關閉通知，終止會話並清除會話密鑰。 | - 防止密鑰長期留存導致泄露風險 |
不同類型SSL證書的安全性和適用場景
| 證書類型 | 加密強度 | 身份驗證級別 | 適用場景 | 安全性關鍵點 |
|---|---|---|---|---|
| DV（Domain Validation）證書 | 支持主流加密算法（如RSA 2048位/ECC 256位），加密強度高。 | 僅驗證域名所有權（通過郵箱/文件驗證），不驗證企業身份。 | 個人網站、博客、測試環境。 | - 加密強度高，但無法驗證網站所有者身份 - 存在釣魚風險（攻擊者可仿冒域名獲取證書） |
| OV（Organization Validation）證書 | 支持RSA 2048位/ECC 256位加密，強度與DV相同。 | 驗證域名所有權 + 企業/組織真實身份（需提供營業執照、電話驗證等）。 | 企業官網、電商、金融機構等需展示可信身份的場景。 | - 加密強度高 - 驗證企業身份，瀏覽器顯示企業名稱（增強用户信任） - 可防釣魚（需審核企業資質） |
| EV（Extended Validation）證書 | 支持RSA 2048位/ECC 256位加密，強度最高（部分CA要求更嚴格密鑰管理）。 | 最嚴格驗證：域名所有權 + 企業/組織身份 + 法律合規性（需提交公證文件、律師審核等）。 | 銀行、支付平台、政府機構等高安全需求場景。 | - 加密強度最高 - 瀏覽器地址欄顯示綠色企業名稱+鎖圖標（最強信任標識） - 審核流程複雜，防釣魚效果最佳 |
| 通配符證書（Wildcard SSL） | 加密強度取決於類型（DV/OV/EV），支持泛域名（如 *.example.com）加密。 |
DV通配符僅驗證主域名所有權；OV/EV通配符需額外驗證企業身份。 | 多子域名場景（如 blog.example.com、shop.example.com）。 |
- 加密強度與基礎證書類型一致 - 管理便捷（一張證書覆蓋多個子域名） - OV/EV通配符安全性更高 |
| 多域名證書（SAN/UCC證書） | 加密強度取決於類型（DV/OV/EV），支持綁定多個不同域名（如 example.com + example.net）。 |
DV多域名僅驗證域名所有權；OV/EV多域名需驗證所有綁定域名的企業身份。 | 跨品牌、多業務線的企業（需同時保護多個獨立域名）。 | - 加密強度與基礎證書類型一致 - 靈活管理多域名 - OV/EV多域名安全性更高 |
對於個人網站來説用普通證書，甚至免費SSL證書都是可以的，而如果是企業業務，一定要用到高級SSL。
