Certificate Management Service：什麼是SSL認證

SSL認證的加密過程

SSL協議通過非對稱式加密認證身份與對稱式加密傳輸資料的混合機制實現安全通訊。其核心流程分為認證產生和驗證與構建加密會話兩個階段：

1. 認證產生和驗證

   • 伺服器向CA申請認證時，首先產生RSA 2048位或ECC 256位的金鑰組，將公開金鑰、網域名稱、公司資訊等打包為CSR請求。

   • CA通過網域名稱所有權驗證（DNS解析/檔案驗證）後，用自身私密金鑰對伺服器公開金鑰進行數位簽章，產生標準認證。該簽名形成信任鏈結：根憑證→中間認證→伺服器憑證，瀏覽器逐級驗證防止偽造。

2. 構建加密會話

   • 在TLS握手中，用戶端發送ClientHello訊息以啟動握手過程，包含支援的密碼套件列表、隨機數等。

   • 伺服器響應ServerHello，選擇密碼套件，並發送其憑證鏈結。

   • 用戶端驗證認證的有效性，包括網域名稱匹配、有效期間和吊銷狀態檢查（例如OCSP）。

   • 用戶端產生一個預主要金鑰，用伺服器的公開金鑰加密後發送給伺服器。

   • 雙方使用預主要金鑰和各自的隨機數，通過金鑰交換機制（例如ECDHE或DHE）推匯出工作階段金鑰。

   • 後續通訊使用對稱式加密（如AES）進行，以提高效能並降低計算開銷。

SSL認證購買

阿里雲提供三種類型的SSL認證供選擇：DV認證、OV認證和EV認證。在認證品牌方面，阿里雲支援多個可信賴的憑證授權單位（CA），包括DigiCert、GlobalSign等。這些機構提供多種SSL認證類型，如單網域名稱認證、萬用字元認證和多網域名稱認證。您可以依據網站的具體需求和安全要求有關選擇認證的品牌與類型。認證的擷取方式，請參見購買正式認證。

SSL認證建立與申請

認證簽發流程包含申請認證和網域名稱所有權驗證。

• 申請認證

  需要根據不同的認證類型填寫相應的資訊（認證綁定的網域名稱或IP、網域名稱驗證方式、連絡人以及公司和營業執照等）並提交認證申請審核。請參見申請認證。

• 網域名稱所有權驗證

  在憑證授權單位（CA）為您的網站簽發認證之前，您需要配合CA中心，驗證您認證綁定的網域名稱的所有權或系統管理權限。請參見網域名稱所有權驗證。

SSL認證部署

一旦SSL認證獲得批准並頒發，便可進行部署。認證部署將SSL認證安裝至伺服器上，以確保網站通過HTTPS協議進行安全通訊。部署步驟可能因伺服器類型及託管環境的不同而有所變化，常見的伺服器包括Apache、Nginx和IIS等。請參見部署SSL認證。

認證後續操作

認證類型

阿里雲支援購買DV認證、OV認證和EV認證三種類型的SSL認證。不同類型認證的安全性、支援的認證品牌和適用的網站類型不同，具體如下表所示。

認證品牌

SSL認證支援的多個認證品牌如下表所示。