信任是怎么建立的
每一端都持有应用实例证书，证书里不仅包含公钥，还包含应用标识、主机名、有效期与密钥用途。建立安全通道前，客户端用信任列表校验证书是否可信，服务器同样要校验客户端证书，因此是双向的。首次连接被拒绝是流程的一部分：需要管理员确认把对方证书放入信任目录，之后连接才会成功。使用自签名证书时这一步无法省略，用受信任的机构或统一发证系统签发证书可以减少维护量。
基本信息
| 证书类型 | X.509 应用实例证书，可自签名或由机构签发 |
|---|---|
| 信任目录 | 已信任证书、被拒绝证书、签发者证书、吊销列表 |
| 校验项 | 应用标识、主机名、密钥用途、密钥长度、有效期、吊销状态 |
| 密钥长度 | 以所用安全策略要求为准，通常不低于 2048 位 |
| 发证方式 | 自签名、企业内部签发、统一发证系统 |
| 常见后果 | 证书不匹配时连接直接失败，无法降级为明文 |
典型使用场景
- 首次接入新设备：确认对方证书并加入信任列表
- 证书轮换：提前签发新证书并双方互信，避免切换时刻掉线
- 批量设备接入：用统一下发的证书减少逐台确认工作
- 排查掉线：先看证书有效期与吊销状态，再查网络
- 多网卡主机：应用标识与主机名不一致导致的校验失败
- 审计要求：留存证书指纹与信任变更记录
常见报错与原因
| 报错 | 含义 | 处理方向 |
|---|---|---|
| 证书不受信任 | 对方证书不在信任列表 | 核对指纹后加入信任目录 |
| 应用标识无效 | 证书里的应用标识与连接声明不一致 | 修正证书或客户端配置 |
| 证书时间无效 | 未生效、已过期或系统时钟偏差 | 校时并更新证书 |
| 安全检查失败 | 签名、密钥用途或策略不匹配 | 核对密钥用途与安全策略要求 |
| 吊销信息缺失 | 需要吊销列表但未配置 | 部署吊销列表或调整校验策略 |
手工核对证书要点
手工核对证书要点
# 查看主题、应用标识、有效期与密钥用途
openssl x509 -in app_cert.der -inform der -noout -text | grep -E 'Subject:|URI|Not After|Not Before'
# 计算指纹，用于与设备界面上显示的指纹比对
openssl x509 -in app_cert.der -inform der -noout -fingerprint -sha256
# 证书不匹配时优先核对应用标识与主机名，而不是反复重启服务信任列表是安全边界：加错一个证书等于让陌生人拿到读写权限。批量场景建议用统一签发机构，并把信任变更纳入变更记录。
调试用的自动接受未知证书功能只适合实验室；在生产网络开启它，会让加密通道失去身份验证的意义。