https SSL 自建证书的制作

1. 客户端认证服务器：

   正规的做法是：到国际知名的证书颁发机构，如VeriSign申请一本服务器证书，比如支付宝的首页，点击小锁的图标，可以看到支付宝是通过VeriSign认证颁发的服务器证书：

   

   我们用的操作系统（windows, linux, unix ,android, ios等）都预置了很多信任的根证书，比如我的windows中就包含VeriSign的根证书，那么浏览器访问服务器比如支付宝www.alipay.com时，SSL协议握手时服务器就会把它的服务器证书发给用户浏览器，而这本服务器证书又是比如VeriSign颁发的，自然就验证通过了。

    

   国内许多公司的做法：自己做根证书CA（自己充当类似于VeriSign的角色），然后让用户下载安装根CA（当然了，其中只含有公钥）到机器中，12306就是这样干的（SRCA就是12306的根证书），然后再自己给自己颁发服务器证书，这样用户机器上也有他的CA，服务器发来的服务器证书也是这本CA颁发的，当然也顺利通过了。