如果我要实现 ssl 证书的双向认证，在 StartSSL 申请的证书可以吗

[fdsfsdfsdf3334]

目前公司的oa系统，我按照网上的教程，自己生成ca 然后生成服务器客户端证书，实现了双向认证，但是这样的话 浏览器会显示 这个证书不可靠


我想到了一个办法，就是把我自己的ca加入系统的信任，但这样有一点担心，就是担心服务器被人黑了，对方拿走我的ca，那么 可能会给公司带来麻烦， [比如，公司的同事都习惯了浏览器显示不信任，所以万一ca被人替换，大家可能都还不知道 ] ，其实我也不知道这个担心是否多余


另外，我想，如果用StartSSL的证书， 来做双向认证，那么浏览器就不会显示不可靠，也就应该不会被坏人替换， 但我不知道用StartSSL给我的证书，是否可以做双向认证呢，安全吗，

公司对安全方面要求高

比如什么双向认证，密码 各方面要求都高， 大家还有什么办法提高各方面的安全性吗

或者可以分享一些你所了解的安全知识吗

[julyclyde]

双向认证有两种：要求对方出示我方指定的CA签发的证书、要求对方出示我方指定的证书
你可以选前一种

[ryd994]

ca密钥不要放服务器，放在安全的机器上，除了签证书你平时用不到的，如果今后不想再签，直接销毁也是可行的。
服务器上只放服务器密钥和证书还有CA证书，这样即使攻破，只要发revoke就行（具体怎么revoke我还不是很熟练，就不误导了）
客户机上当然要装CA证书，装了证书就没事了。注重安全的话，装个证书不算费事吧……
最有效还是限制内网访问
密码什么的，真要安全就一次一密的令牌

双向认证我觉得没必要，做网页登录足够啦。双向认证要每个客户签一个证书才有意义

[fdsfsdfsdf3334]

@julyclyde
@ryd994 非常感谢两位的回复

我也是为了更大的安全，所以才用双向认证，这样的话，，没有证书的人，连最基本的页面也看不到，只有证书正确了，才可以访问，然后再试用帐户密码登陆， 当员工离职，销毁她的证书和帐户即可，

不过我现在苦恼的是， 有什么东西，可以让我很方便的给新来的员工生成证书，没找到这样的工具

(*^__^*) 嘻嘻

[me2you]

这些都不是事儿