A. 老师你好，在ssl证书中，cer是公钥证书，key是私钥证书，crt是证书链对吗
key是SSL证书私钥。而.cer和.crt是证书链，其中，.cer是服务器证书，.crt是中间证书。
一般上传的时候都是合着上传写入的，比如网络云加速上传SSL证书的时候，在证书输入框输入.cer的文本，再回车输入.crt的文件，即可完成证书链。
ssl证书优点：
一般说来，在网上进行电子商务交易时，交易双方需要使用数字签名来表明自己的身份，并使用数字签名来进行有关的交易操作。随着电子商务的盛行，数字签章的颁发机构CA中心将为电子商务的发展提供可靠的安全保障。
一个有效、可信的 SSL 数字证书包括一个公共密钥和一个私用密钥。公共密钥用于加密信息，私用密钥用于解译加密的信息。因此，浏览器指向一个安全域时，SSL 将同步确认服务器和客户端，并创建一种加密方式和一个唯一的会话密钥。
一般而言，由 CA 业界发出的数字证书，有别于国内浏览器业者比对域名信息等方式，采取更为严格的企业及所有权验证，为电商环境树立更为可信的运作环境。
如果您的网站使用 SSL 证书 (SSL Certificates)，并显示了签章 (Secured Seal)，您的客户就知道他们的交易安全可靠，并且充分信赖您的网站。
B. 公钥、私钥、数字签名和数字证书简介
加密方式一共分为两种 对称加密 和 非对称加密
加密和解密使用的是同一种密钥。
这类加密算法的优点是 计算量小，加密速度快，加密效率高
缺点也明显，在传输数据前，双方必须商定并且保存好密钥，任何一方泄露了密钥，加密信息就不再安全了。另外，每次使用对称加密算法时，都需要使用其他人不知道的唯一密钥，这样会使得双方会拥有大量的密钥，让管理密钥称为一种负担
非对称加密需要两个密钥来进行加密和解密，这两个密钥分别称为 公有密钥 和 私有密钥
这两份钥匙的使用是相互对应的。如果使用了公有密钥加密文件，那么解密就只能用对应的私密钥匙才能解密，同理，如果用私密钥匙加密了文件，那么解密也只能使用对应的公有。
这里有一个缺点:因为乙的公钥是公开的，所以有被人冒充甲方使用乙的公钥发送请求。
解决方案：首先甲用自己的私钥对消息进行加密，生成另一个密文，然后将密文发送给乙，乙收到消息之后，如果能用乙的公钥解密，就说明这个消息确实是甲方发送的。
虽然上面的方法解决了身份认证的问题，但是由于所有人都有甲的公钥，所以只要消息发送中途被截获就一定能被解密；而且对文件加密可能是个耗时的过程，比如文件足够大，那么用私钥加密整个文件以及拿到文件后解密的开销无疑是巨大的。为了解决这两个问题，于是有了数字签名。
数字签名的发送流程如下：
有了数字签名，我们就可以验证来源和消息的完整性。但是仍然还存在缺陷。假如存在第三人丙，偷偷在乙的电脑用自己的公钥替换了甲的公钥，然后用自己的私钥给乙发送信息，这时乙收到的消息会以为是甲发送的。
为了解决这个问题，于是有了 数字证书
数字证书，就是为了解决，无法区分电脑中的密钥归属的问题，其实就是给公钥做个身份证，以便让别人搞清楚公钥到底是谁的.。
但仍然存在问题:假设有一万个人，他们每个人都有CA的证书，那么乙就要报关一万份不同的CA公钥来验证这些人的身份。这是不可能的。
所以就有了"根证书"。根证书里面存储着CA公钥来验证所有CA颁发的数字证书，乙只需要保管一份根证书就可以验证所有人的身份了。
以上
原文连接: https://blog.csdn.net/kswkly/article/details/83617944
C. https 证书 私钥 公钥
引言
使用HTTP（超文本传输）协议访问互联网上的数据是没有经过加密的。也就是说，任何人都可以通过适当的工具拦截或者监听到在网络上传输的数据流。但是有时候，我们需要在网络上传输一些安全性或者私秘性的数据，譬如：包含信用卡及商品信息的电子订单。这个时候，如果仍然使用HTTP协议，势必会面临非常大的风险！相信没有人能接受自己的信用卡号在互联网上裸奔。
HTTPS（超文本传输安全）协议无疑可以有效的解决这一问题。所谓HTTPS，其实就是HTTP和SSL/TLS的组合，用以提供加密通讯及对网络服务器的身份鉴定。HTTPS的主要思想是在不安全的网络上创建一安全信道，防止黑客的窃听和攻击。
SSL（安全套接层）可以用来对Web服务器和客户端之间的数据流进行加密。
SSL利用非对称密码技术进行数据加密。加密过程中使用到两个秘钥：一个公钥和一个与之对应的私钥。使用公钥加密的数据，只能用与之对应的私钥解密；而使用私钥加密的数据，也只能用与之对应的公钥解密。因此，如果在网络上传输的消息或数据流是被服务器的私钥加密的，则只能使用与其对应的公钥解密，从而可以保证客户端与与服务器之间的数据安全。
数字证书（Certificate）
在HTTPS的传输过程中，有一个非常关键的角色——数字证书，那什么是数字证书？又有什么作用呢？
所谓数字证书，是一种用于电脑的身份识别机制。由数字证书颁发机构（CA）对使用私钥创建的签名请求文件做的签名（盖章），表示CA结构对证书持有者的认可。数字证书拥有以下几个优点：
使用数字证书能够提高用户的可信度
数字证书中的公钥，能够与服务端的私钥配对使用，实现数据传输过程中的加密和解密
在证认使用者身份期间，使用者的敏感个人数据并不会被传输至证书持有者的网络系统上
X.509证书包含三个文件：key，csr，crt。
key是服务器上的私钥文件，用于对发送给客户端数据的加密，以及对从客户端接收到数据的解密
csr是证书签名请求文件，用于提交给证书颁发机构（CA）对证书签名
crt是由证书颁发机构（CA）签名后的证书，或者是开发者自签名的证书，包含证书持有人的信息，持有人的公钥，以及签署者的签名等信息
备注：在密码学中，X.509是一个标准，规范了公开秘钥认证、证书吊销列表、授权凭证、凭证路径验证算法等。
创建自签名证书的步骤
注意：以下步骤仅用于配置内部使用或测试需要的SSL证书。
第1步：生成私钥
使用openssl工具生成一个RSA私钥
1$ openssl genrsa -des3 -out server.key 2048
说明：生成rsa私钥，des3算法，2048位强度，server.key是秘钥文件名。
注意：生成私钥，需要提供一个至少4位的密码。
第2步：生成CSR（证书签名请求）
生成私钥之后，便可以创建csr文件了。
此时可以有两种选择。理想情况下，可以将证书发送给证书颁发机构（CA），CA验证过请求者的身份之后，会出具签名证书（很贵）。另外，如果只是内部或者测试需求，也可以使用OpenSSL实现自签名，具体操作如下：
1$ openssl req -new -key server.key -out server.csr
说明：需要依次输入国家，地区，城市，组织，组织单位，Common Name和Email。其中Common Name，可以写自己的名字或者域名，如果要支持https，Common Name应该与域名保持一致，否则会引起浏览器警告。
1
2
3
4
5
6
7
Country Name (2 letter code) [AU]:CN
State or Province Name (full name) [Some-State]:Beijing
Locality Name (eg, city) []:Beijing
Organization Name (eg, company) [Internet Widgits Pty Ltd]:joyios
Organizational Unit Name (eg, section) []:info technology
Common Name (e.g. server FQDN or YOUR name) []:demo.joyios.com
Email Address []:[email protected]
第3步：删除私钥中的密码
在第1步创建私钥的过程中，由于必须要指定一个密码。而这个密码会带来一个副作用，那就是在每次Apache启动Web服务器时，都会要求输入密码，这显然非常不方便。要删除私钥中的密码，操作如下：
1
2
cp server.key server.key.org
openssl rsa -in server.key.org -out server.key
第4步：生成自签名证书
如果你不想花钱让CA签名，或者只是测试SSL的具体实现。那么，现在便可以着手生成一个自签名的证书了。
需要注意的是，在使用自签名的临时证书时，浏览器会提示证书的颁发机构是未知的。
1$ openssl x509 -req -days 365 -in server.csr -signkey server.key -out server.crt
说明：crt上有证书持有人的信息，持有人的公钥，以及签署者的签名等信息。当用户安装了证书之后，便意味着信任了这份证书，同时拥有了其中的公钥。证书上会说明用途，例如服务器认证，客户端认证，或者签署其他证书。当系统收到一份新的证书的时候，证书会说明，是由谁签署的。如果这个签署者确实可以签署其他证书，并且收到证书上的签名和签署者的公钥可以对上的时候，系统就自动信任新的证书。
第5步：安装私钥和证书
将私钥和证书文件复制到Apache的配置目录下即可，在Mac 10.10系统中，复制到/etc/apache2/目录中即可。
D. 图说公钥与私钥原理
1)鲍勃有两把钥匙，一把是公钥，另一把是私钥
2)鲍勃把公钥送给他的朋友们----帕蒂、道格、苏珊----每人一把。
3)苏珊要给鲍勃写一封保密的信。她写完后用鲍勃的公钥加密，就可以达到保密的效果。
4)鲍勃收信后，用私钥解密，就看到了信件内容。这里要强调的是，只要鲍勃的私钥不泄露，这封信就是安全的，即使落在别人手里，也无法解密。
5)鲍勃给苏珊回信，决定采用"数字签名"。他写完后先用Hash函数，生成信件的摘要（digest）。
6)然后，鲍勃使用私钥，对这个摘要加密，生成"数字签名"（signature）。
7)鲍勃将这个签名，附在信件下面，一起发给苏珊。
8)苏珊收信后，取下数字签名，用鲍勃的公钥解密，得到信件的摘要。由此证明，这封信确实是鲍勃发出的。
9)苏珊再对信件本身使用Hash函数，将得到的结果，与上一步得到的摘要进行对比。如果两者一致，就证明这封信未被修改过。
10)复杂的情况出现了。道格想欺骗苏珊，他偷偷使用了苏珊的电脑，用自己的公钥换走了鲍勃的公钥。此时，苏珊实际拥有的是道格的公钥，但是还以为这是鲍勃的公钥。因此，道格就可以冒充鲍勃，用自己的私钥做成"数字签名"，写信给苏珊，让苏珊用假的鲍勃公钥进行解密。
11)后来，苏珊感觉不对劲，发现自己无法确定公钥是否真的属于鲍勃。她想到了一个办法，要求鲍勃去找"证书中心"（certificate authority，简称CA），为公钥做认证。证书中心用自己的私钥，对鲍勃的公钥和一些相关信息一起加密，生成"数字证书"（Digital Certificate）。
12)鲍勃拿到数字证书以后，就可以放心了。以后再给苏珊写信，只要在签名的同时，再附上数字证书就行了。
13)苏珊收信后，用CA的公钥解开数字证书，就可以拿到鲍勃真实的公钥了，然后就能证明"数字签名"是否真的是鲍勃签的。
HTTPS详解
HTTP协议的网站容易被篡改和劫持，如一些不良的运营商会通过代理服务器在你的页面中植入广告等。
因此很多网站选择使用HTTPS协议。HTTPS协议通过TLS层和证书机制提供了内容加密，身份认证，数据完整性三大功能。
14)下面，我们看一个应用"数字证书"的实例：https协议。这个协议主要用于网页加密。
15)首先，客户端向服务器发出加密请求。
16)服务器用自己的私钥加密网页以后，连同本身的数字证书，一起发送给客户端。
17)客户端（浏览器）的"证书管理器"，有"受信任的根证书颁发机构"列表。客户端会根据这张列表，查看解开数字证书的公钥是否在列表之内。
18)如果数字证书记载的网址，与你正在浏览的网址不一致，就说明这张证书可能被冒用，浏览器会发出警告。
19)如果这张数字证书不是由受信任的机构颁发的，浏览器会发出另一种警告
20.如果数字证书是可靠的，客户端就可以使用证书中的服务器公钥，对信息进行加密，然后与服务器交换加密信息。
总之
E. web服务器的私钥保存在什么地方
是一段代码
如果要解除HTTP起动时的口令输入
可以这样:
# cd /usr/local/apache2/conf/ssl.key/
或创建 /usr/local/apache2/conf/ssl.key/sendsslpwd
此时，Web服务器的私钥已经没有口令加密
F. RSA 公钥和私钥
首先明确一点，公钥和私钥是成对出现的。一个负责加密，另一个负责解密。公开的就是公钥，自己留着的就是私钥。所以不管加密还是解密密钥都是可以是公钥或者私钥的。
所以如果别人发东西给我，我就需要把加密密钥给别人，解密密钥自己藏着，这样就是公钥加密，私钥解密。
如果我想让别人确认我的身份，我就需要把解密密钥给别人，加密密钥自己留着，给自己加密，别人获得密文后用我的解密密钥才可以解密。所以这里就是公钥负责解密，私钥负责加密。
例如服务器证书，一个证书中通常包含很多字段，其中包括：
浏览器收到证书时会对签名颁发机构进行检查。如果这个机构是个很有权威的公共签名机构，浏览器可能已经知道其公开密钥了（浏览器会预先安装很多签名颁发机构的证书），然后用公钥解密，获得相关信息，例如获得证书里面的Web站点的名称和主机名，看看与当前浏览器的地址栏中的地址是否匹配，不匹配的话，浏览器就会给出警告（你可能看到过），提示当前证书是颁给xxx域名的，不是给当前域名的，让你注意。
G. 私钥、公钥、证书的区别和关系
1.首先我们需要区分加密和认证这两个基本概念。
加密是将数据资料加密，使得非法用户即使取得加密过的资料，也无法获取正确的资料内容，所以数据加密可以保护数据，防止监听攻击。其重点在于数据的安全性。身份认证是用来判断某个身份的真实性，确认身份后，系统才可以依不同的身份给予不同的权限。其重点在于用户的真实性。两者的侧重点是不同的。
2.其次我们还要了解公钥和私钥的概念和作用。
在现代密码体制中加密和解密是采用不同的密钥（公开密钥），也就是非对称密钥密码系统，每个通信方均需要两个密钥，即公钥和私钥，这两把密钥可以互为加解密。公钥是公开的，不需要保密，而私钥是由个人自己持有，并且必须妥善保管和注意保密。
公钥私钥的原则：
一个公钥对应一个私钥。
密钥对中，让大家都知道的是公钥，不告诉大家，只有自己知道的，是私钥。
如果用其中一个密钥加密数据，则只有对应的那个密钥才可以解密。
如果用其中一个密钥可以进行解密数据，则该数据必然是对应的那个密钥进行的加密。
H. 私钥、公钥、证书的区别和关系
私钥是要求你输入个人密码才可访问的，一般网上银行之类可用到。
公钥不要求设置密码，是已经默认了的，一般上一些安全性要求不高的网站或共享资源，如局域网。
证书是一种网站加密浏览方式，只有允许了才可访问，一般为安全性较高的网站，如网上银行；可以访止黑客盗取客户资料。
I. 公钥、私钥、签名、证书之间傻傻分不清
首先，一提起非对称密码，Alice和Bob的故事肯定就马上从脑海里面跳出来了。
对于公钥和私钥，肯定已经耳熟能详了，在此就不再详述。
下面，主要梳理“数字签名”（signature）和“数字证书”（Digital Certificate）之间的关系：
概括而言，数字证书就是经过CA认证过的公钥，而私钥一般情况都是由证书持有者在自己本地生成的，由证书持有者自己负责保管。
1、数字签名
（ hash） （私钥）
信息 → 摘要 → 数字签名
2、数字证书
参考资料：
1）http://www.ruanyifeng.com/blog/2011/08/what_is_a_digital_signature.html （简明易懂）
2）https://blog.csdn.net/hongbinchen/article/details/6678635 （较详细，更正式）
J. ca颁发给web网站的数字证书有哪些内容
CA是证书的签发机构,它是PKI的核心。CA是负责签发证书、认证证书、管理已颁发证书的机关。它要制定政策和具体步骤来验证、识别用户身份，并对用户证书进行签名，以确保证书持有者的身份和公钥的拥有权。
数字证书为实现双方安全通信提供了电子认证。在因特网、公司内部网或外部网中，使用数字证书实现身份识别和电子信息加密。数字证书中含有密钥对（公钥和私钥）所有者的识别信息，通过验证识别信息的真伪实现对证书持有者身份的认证。
数字证书在用户公钥后附加了用户信息及CA的签名。公钥是密钥对的一部分，另一部分是私钥。公钥公之于众，谁都可以使用。私钥只有自己知道。由公钥加密的信息只能由与之相对应的私钥解密。为确保只有某个人才能阅读自己的信件，发送者要用收件人的公钥加密信件；收件人便可用自己的私钥解密信件。同样，为证实发件人的身份，发送者要用自己的私钥对信件进行签名；收件人可使用发送者的公钥对签名进行验证，以确认发送者的身份。 在线交易中您可使用数字证书验证对方身份。用数字证书加密信息，可以确保只有接收者才能解密、阅读原文，信息在传递过程中的保密性和完整性。有了数字证书网上安全才得以实现，电子邮件、在线交易和信用卡购物的安全才能得到保证。