Question

MAC申请自签名的ssl证书

Answer 1

不建议申请自签名SSL证书，使用自签SSL证书的风险如下：
第一、被“有心者”利用。
其实“有心者”指的就是黑客。自签名SSL证书你自己可以签发，那么同样别人也可以签发。黑客正好利用其随意签发性，分分钟就能伪造出一张一模一样的自签证书来安装在钓鱼网站上，让访客们分不清孰真孰假。
第二、浏览器会弹出警告，易遭受攻击
前面有提到自签名SSL证书是不受浏览器信任的，即使网站安装了自签名SSL证书，当用户访问时浏览器还是会持续弹出警告，让用户体验度大大降低。因它不是由CA进行验证签发的，所以CA是无法识别签名者并且不会信任它，因此私钥也形同虚设，网站的安全性会大大降低，从而给攻击者可乘之机。
第三、安装容易，吊销难
自签名SSL证书是没有可访问的吊销列表的，所以它不具备让浏览器实时查验证书的状态，一旦证书丢失或者被盗而无法吊销，就很有可能被用于非法用途从而让用户蒙受损失。同时，浏览器还会发出“吊销列表不可用，是否继续？”的警告，不仅降低了网页的浏览速度，还大大降低了访问者对网站的信任度。
第四、超长有效期，时间越长越容易被破解
自签名SSL证书的有效期特别长，短则几年，长则几十年，想签发多少年就多少年。而由受信任的CA机构签发的SSL证书有效期不会超过2年，因为时间越长，就越有可能被黑客破解。所以超长有效期是它的一个弊端。

Answer 2

1、桌面创建"SSL"文件夹，用来存放申请证书过程中的所有文件。
2、打开"终端"并进入到"桌面->SSL"。

3、管理员权限（命令：sudo su）。
这个命令超级重要！重要！重要！没有在管理员权限下执行下面的操作，即使你可以完成前面几步，也会在最后一步卡住报错！！！！

4、创建rootCA.key（命令：openssl genrsa -des3 -out rootCA.key 2048）。
创建时需要输入一个密码，这个密码要记住，下一步有用。

5、使用rootCA.key创建rootCA.pem（命令：openssl req -x509 -new -nodes -key rootCA.key -sha256 -days 3650 -out rootCA.pem）
创建时需要输入rootCA.key的密码。
其他信息可以随意填写。

6、双击rootCA.pem证书。在钥匙串中双击，并修改为"始终信任"该证书

7、创建v3.ext文件（命令：touch v3.ext）

8、编辑v3.ext文件（命令：sudo vim v3.ext）

将下列文字复制粘贴进去
注意最后一行，（DNS.1 = xxxxxxx）
这一行可以输入域名或IP。

9、创建server.csr和server.key（命令：openssl req -new -sha256 -nodes -out server.csr -newkey rsa:2048 -keyout server.key）
这里要注意倒数第二项，必须填自己的IP地址或域名，如果IP为动态获取的，建议先改成固定IP。

10、创建server.crt（命令:openssl x509 -req -in server.csr -CA [rootCA.pem路径] -CAkey [rootCA.key路径] -CAcreateserial -out server.crt -days 500 -sha256 -extfile v3.ext）
去掉中括号，把对应文件路径写进去。
如果你报了“Error opening CA Certificate”这个错误，请先检查路径是否正确，如果正确请检查是否执行了第三步，我就卡在这卡了一晚上～
如果一切正常会让你输入密码，输入完成后就会生成server.crt！！

最后查看SSL文件夹

忙活一晚上就是为了这个～
明天有时间的话会更新服务器部署SSL证书，敬请期待哦～