关于第三方ssl证书的一个疑问

他好像条狗唉

各位大佬，经常看到坛子里有人代（啊）办（啊）证书，或者通过第三方网站生成ssl证书。
为啥不直接去CA那里生成呢？像letsencrypt的脚本生成也很方便，而且可以自动刷新。
第三方代（啊）办或者一键生成虽然方便，但是你的私有证书第三方也有了。那么理论上第三方可以冒充你的网站，或者对你网站连接进行中间人攻击而不被发觉。

声明：对坛子里代（啊）办（啊）证书的大佬没有任何怀疑，只是觉得有这种可能性，所以提出来探讨一下，看看大家的真实想法。

吐槽一下：发帖因为某些关键字发不出去，找起来太累了。


根据下面大佬们的回复，从安全角度出发，通过第三方生成ssl证书时，还是自己生成csr去申请比较靠谱。最好是自己本机生成csr，不要去各种在线网站生成。

hanada

1、正规渠道申请最起码几百起步（这里先不说免费证书）2、对安全有顾虑可以用csr申请啊

nny

1.不是给自己用的
2.我就是中间攻击了

remarkable

昨天晚上上了坛子里某位大佬给开的alphassl通配符,这个大家也就玩玩吧,而且第三方也就卖证书的人了,不至于闲的没事来搞我这小破站的

他好像条狗唉

remarkable 发表于 2020-8-5 18:32
昨天晚上20上了坛子里某位大佬给开的alphassl通配符,这个大家也就玩玩吧,而且第三方也就卖证书的人了,不至 ...

恩，只是觉得从安全角度来讲，有一定的风险。没说大佬会去攻击我们的小站。

platinum

你自己生成csr去申请不就行了

babyby168

证书直接发到你填的邮箱的，攻击个锤子

他好像条狗唉

hanada 发表于 2020-8-5 18:35
1、正规渠道申请最起码几百起步（这里先不说免费证书）2、对安全有顾虑可以用csr申请啊 ...

是的，自己生成csr是一个解决方案。