A. 什麼是根證書根證書能幹嘛請通俗點。謝謝。
wtp=tt網路來網路講得很明白了。也非源常通俗易懂根證書是CA認證中心給自己頒發的證書,是信任鏈的起始點。安裝根證書意味著對這個CA認證中心的信任。從技術上講，證書其實包含三部分，用戶的信息，用戶的公鑰，還有CA中心對該證書裡面的信息的簽名，要驗證一份證書的真偽（即驗證CA中心對該證書信息的簽名是否有效），需要用CA中心的公鑰驗證，而CA中心的公鑰存在於對這份證書進行簽名的證書內，故需要下載該證書，但使用該證書驗證又需先驗證該證書本身的真偽，故又要用簽發該證書的證書來驗證，這樣一來就構成一條證書鏈的關系，這條證書鏈在哪裡終結呢？答案就是根證書，根證書是一份特殊的證書，它的簽發者是它本身，下載根證書就表明您對該根證書以下所簽發的證書都表示信任，而技術上則是建立起一個驗證證書信息的鏈條，證書的驗證追溯至根證書即為結束。所以說用戶在使用自己的數字證書之前必須先下載根證書。
B. 根證書是什麼
所謂根證書，是CA認證中心與用戶建立信任關系的基礎，用戶的數字證書必須有一個受信任的根回證書，用戶答的數字證書才是有效的。從技術上講，證書其實包含三部分，用戶的信息，用戶的公鑰，還有CA中心對該證書裡面的信息的簽名，要驗證一份證書的真偽（即驗證CA中心對該證書信息的簽名是否有效），需要用CA中心的公鑰驗證，而CA中心的公鑰存在於對這份證書進行簽名的證書內，故需要下載該證書，但使用該證書驗證又需先驗證該證書本身的真偽，故又要用簽發該證書的證書來驗證，這樣一來就構成一條證書鏈的關系，這條證書鏈在哪裡終結呢？答案就是根證書，根證書是一份特殊的證書，它的簽發者是它本身，下載根證書就表明您對該根證書以下所簽發的證書都表示信任，而技術上則是建立起一個驗證證書信息的鏈條，證書的驗證追溯至根證書即為結束。所以說用戶在使用自己的數字證書之前必須先下載根證書。
C. 根證書是什麼
在密碼學和計算機安全領域中，根證書是未被簽名的公鑰證書或自簽名的專證書。
根證書是CA認證中心給屬自己頒發的證書,是信任鏈的起始點。安裝根證書意味著對這個CA認證中心的信任。
從技術上講，證書其實包含三部分，用戶的信息，用戶的公鑰，還有CA中心對該證書裡面的信息的簽名，要驗證一份證書的真偽（即驗證CA中心對該證書信息的簽名是否有效），需要用CA 中心的公鑰驗證，而CA中心的公鑰存在於對這份證書進行簽名的證書內，故需要下載該證書，但使用該證書驗證又需先驗證該證書本身的真偽，故又要用簽發該證書的證書來驗證，這樣一來就構成一條證書鏈的關系，這條證書鏈在哪裡終結呢？答案就是根證書，根證書是一份特殊的證書，它的簽發者是它本身，下載根證書就表明您對該根證書以下所簽發的證書都表示信任，而技術上則是建立起一個驗證證書信息的鏈條，證書的驗證追溯至根證書即為結束。所以說用戶在使用自己的數字證書之前必須先下載根證書。
D. 如何生成CA證書
創建根證書密鑰文件(自己做CA)root.key：
創建根證書的申請文件root.csr：
創建一個自當前日期起為期十年的根證書root.crt：
創建伺服器證書密鑰server.key：
創建伺服器證書的申請文件server.csr
創建自當前日期起有效期為期兩年的伺服器證書server.crt
創建客戶端證書密鑰文件client.key
創建客戶端證書的申請文件client.csr
創建一個自當前日期起有效期為兩年的客戶端證書client.crt
將客戶端證書文件client.crt和客戶端證書密鑰文件client.key合並成客戶端證書安裝包client.pfx
保存生成的文件備用，其中server.crt和server.key是配置單向SSL時需要使用的證書文件，client.crt是配置雙向SSL時需要使用的證書文件，client.pfx是配置雙向SSL時需要客戶端安裝的證書文件 .crt文件和.key可以合到一個文件裡面，把2個文件合成了一個.pem文件（直接拷貝過去就行了）
E. 如何使用OpenSSL工具生成根證書與應用證書
使用OpenSSL工具生成根證書與應用證書方法：
1、生成頂級CA的公鑰證書和私鑰文件，有效期10年（RSA 1024bits，默認） openssl req -new -x509 -days 3650 -keyout CARoot1024.key -out CARoot1024.crt
2、 為頂級CA的私鑰文件去除保護口令 openssl rsa -in CARoot1024.key -out CARoot1024.key
3、 生成頂級CA的公鑰證書和私鑰文件，有效期15年（RSA 2048bits，指定） openssl req -newkey rsa:2048 -x509 -days 5480 -keyout CARoot2048.key -out CARoot2048.crt
4、 為頂級CA的私鑰文件去除保護口令 openssl rsa -in CARoot2048.key -out CARoot2048.key
5、 為應用證書/中級證書生成私鑰文件 openssl genrsa -out app.key 2048
6、 根據私鑰文件，為應用證書/中級證書生成 csr 文件（證書請求文件） openssl req -new -key app.key -out app.csr
7、 使用CA的公私鑰文件給 csr 文件簽名，生成應用證書，有效期5年 openssl ca -in app.csr -out app.crt -cert CARoot1024.crt -keyfile CARoot1024.key -days 1826 -policy policy_anything
8、 使用CA的公私鑰文件給 csr 文件簽名，生成中級證書，有效期5年 openssl ca -extensions v3_ca -in app.csr -out app.crt -cert CARoot1024.crt -keyfile CARoot1024.key -days 1826 -policy policy_anything
以上是生成根證書與應用證書過程中要用到的所有命令，根據生成目標不同，分為三組。其中，前面兩組都用於生成自簽名的頂級CA（區別只在於密鑰長度不同），實際應用中只需根據需求選擇一組即可。 最後一組用於生成非自簽名的證書，包括中級證書與應用證書。所謂中級證書，是具有繼續頒發下級證書許可權的子CA，而本文中所說的應用證書，特指不能用來繼續頒發下級證書，只能用來證明個體身份的證書。頂級CA在簽發二者的時候，只是多少一個 -extensions v3_ca 選項的區別，這個選項賦予被簽發的證書繼續簽發下級證書的權力。
F. 如何安裝根證書
雙擊來根證書文件 彈出證書屬性的源對話框，此時該根證書並不受信任，我們需要將其加入「受信任的根證書頒發機構」步驟二：點擊「安裝證書」，彈出證書導入向導步驟三：點擊下一步，選擇證書的存儲區步驟四：選擇「將所有的證書放入下列存儲區」，然後點擊下一步，選擇證書存儲步驟五：在「選擇證書存儲」對話框中選擇「受信任的根證書頒發機構」，點擊確定，此時返回到證書導入向導頁面步驟六：在證書導入向導頁面，證書存儲變為「受信任的根證書頒發機構」，點擊下一步步驟七：點擊「完成」，此時會彈出安全警告 步驟八：點擊「是」，安裝該證書。此時所有操作完成，成功將根證書加入「受信任的根證書頒發機構」。
G. 怎麼做電腦根證書
你這樣電腦打抄開瀏覽器，然後右上角有個工具---Internet選項---內容---證書---個人那個下面找到你的那個證書，下面就有個刪除，點擊就可以了。還有一種方法就是登陸你的支付寶找到管理你的數字證書，然後找到你安裝時選擇的筆記本或者台式或者公司等等，反正是你自己選擇的安裝方式，然後刪除就可以了。我知道的只有這2種方法，你試試吧，反正能夠行得通的，我刪除了好幾次了。
H. 根證書是什麼東西為什麼必須安裝
?從技術上講，證書其實包含三部分，用戶的信息，用戶的公鑰，還有CA中心專對該證書裡面的信屬息的簽名。驗證一份證書的真偽（即驗證CA中心對該證書信息的簽名是否有效），需要用CA 中心的公鑰驗證，而CA中心的公鑰存在於對這份證書進行簽名的證書內，故需要下載該證書，但使用該證書驗證又需先驗證該證書本身的真偽，故又要用簽發該證書的證書來驗證，這樣一來就構成一條證書鏈的關系，這條證書鏈在哪裡終結呢？答案就是根證書，根證書是一份特殊的證書，它的簽發者是它本身，下載根證書就表明您對該根證書以下所簽發的證書都表示信任，而技術上則是建立起一個驗證證書信息的鏈條，證書的驗證追溯至根證書即為結束。所以說用戶在使用自己的數字證書之前必須先下載根證書。??
I. 如何生成CA證書
如何生成CA證書
一般情況下，如果能找到可用的證書，就可以直接使用，只不過會因證書的某些信息不正確或與部署證書的主機不匹配而導致瀏覽器提示證書無效，但這並不影響使用。
需要手工生成證書的情況有：
找不到可用的證書
需要配置雙向SSL，但缺少客戶端證書
需要對證書作特別的定製
首先，無論是在Linux下還是在Windows下的Cygwin中，進行下面的操作前都須確認已安裝OpenSSL軟體包。
1. 創建根證書密鑰文件(自己做CA)root.key：
openssl genrsa -des3 -out root.key
輸出內容為：
[lenin@archer ~]$ openssl genrsa -des3 -out root.key
Generating RSA private key, 512 bit long molus
……………..++++++++++++
..++++++++++++
e is 65537 (0×10001)
Enter pass phrase for root.key: ← 輸入一個新密碼
Verifying – Enter pass phrase for root.key: ← 重新輸入一遍密碼
2. 創建根證書的申請文件root.csr：
openssl req -new -key root.key -out root.csr
輸出內容為：
[lenin@archer ~]$ openssl req -new -key root.key -out root.csr
Enter pass phrase for root.key: ← 輸入前面創建的密碼
You are about to be asked to enter information that will be incorporated
into your certificate request.
What you are about to enter is what is called a Distinguished Name or a DN.
There are quite a few fields but you can leave some blank
For some fields there will be a default value,
If you enter 『.』, the field will be left blank.
—–
Country Name (2 letter code) [AU]:CN ← 國家代號，中國輸入CN
State or Province Name (full name) [Some-State]:BeiJing ← 省的全名，拼音
Locality Name (eg, city) []:BeiJing ← 市的全名，拼音
Organization Name (eg, company) [Internet Widgits Pty Ltd]:MyCompany Corp. ← 公司英文名
Organizational Unit Name (eg, section) []: ← 可以不輸入
Common Name (eg, YOUR name) []: ← 此時不輸入
Email Address []:[email protected] ← 電子郵箱，可隨意填
Please enter the following 『extra』 attributes
to be sent with your certificate request
A challenge password []: ← 可以不輸入
An optional company name []: ← 可以不輸入
3. 創建一個自當前日期起為期十年的根證書root.crt：
openssl x509 -req -days 3650 -sha1 -extensions v3_ca -signkey root.key -in root.req -out root.crt
輸出內容為：
[lenin@archer ~]$ openssl x509 -req -days 3650 -sha1 -extensions v3_ca -signkey root.key -in root.csr -out root.crt
Signature ok
subject=/C=CN/ST=BeiJing/L=BeiJing/O=MyCompany Corp./[email protected]
Getting Private key
Enter pass phrase for root.key: ← 輸入前面創建的密碼
4. 創建伺服器證書密鑰server.key：
openssl genrsa –des3 -out server.key 2048
輸出內容為：
[lenin@archer ~]$ openssl genrsa -out server.key 2048
Generating RSA private key, 2048 bit long molus
….+++
…………………………………………..+++
e is 65537 (0×10001)
運行時會提示輸入密碼,此密碼用於加密key文件(參數des3便是指加密演算法,當然也可以選用其他你認為安全的演算法.),以後每當需讀取此文件(通過openssl提供的命令或API)都需輸入口令.如果覺得不方便,也可以去除這個口令,但一定要採取其他的保護措施!
去除key文件口令的命令:
openssl rsa -in server.key -out server.key
5.創建伺服器證書的申請文件server.csr：
openssl req -new -key server.key -out server.csr
輸出內容為：
[lenin@archer ~]$ openssl req -new -key server.key -out server.req
You are about to be asked to enter information that will be incorporated
into your certificate request.
What you are about to enter is what is called a Distinguished Name or a DN.
There are quite a few fields but you can leave some blank
For some fields there will be a default value,
If you enter 『.』, the field will be left blank.
—–
Country Name (2 letter code) [AU]:CN ← 國家名稱，中國輸入CN
State or Province Name (full name) [Some-State]:BeiJing ← 省名，拼音
Locality Name (eg, city) []:BeiJing ← 市名，拼音
Organization Name (eg, company) [Internet Widgits Pty Ltd]:MyCompany Corp. ← 公司英文名
Organizational Unit Name (eg, section) []: ← 可以不輸入
Common Name (eg, YOUR name) []:www.mycompany.com ← 伺服器主機名，若填寫不正確，瀏覽器會報告證書無效，但並不影響使用
Email Address []:[email protected] ← 電子郵箱，可隨便填
Please enter the following 『extra』 attributes
to be sent with your certificate request
A challenge password []: ← 可以不輸入
An optional company name []: ← 可以不輸入
6. 創建自當前日期起有效期為期兩年的伺服器證書server.crt：
openssl x509 -req -days 730 -sha1 -extensions v3_req -CA root.crt -CAkey root.key -CAserial root.srl -CAcreateserial -in server.csr -out server.crt
輸出內容為：
[lenin@archer ~]$ openssl x509 -req -days 730 -sha1 -extensions v3_req -CA root.crt -CAkey root.key -CAcreateserial -in server.csr -out server.crt
Signature ok
subject=/C=CN/ST=BeiJing/L=BeiJing/O=MyCompany Corp./CN=www.mycompany.com/[email protected]
Getting CA Private Key
Enter pass phrase for root.key: ← 輸入前面創建的密碼
7. 創建客戶端證書密鑰文件client.key：
openssl genrsa -des3 -out client.key 2048
輸出內容為：
[lenin@archer ~]$ openssl genrsa -des3 -out client.key 2048
Generating RSA private key, 2048 bit long molus
……………………………………………………………………………..+++
……………………………………………………………………………………………………….+++
e is 65537 (0×10001)
Enter pass phrase for client.key: ← 輸入一個新密碼
Verifying – Enter pass phrase for client.key: ← 重新輸入一遍密碼
8. 創建客戶端證書的申請文件client.csr：
openssl req -new -key client.key -out client.csr
輸出內容為：
[lenin@archer ~]$ openssl req -new -key client.key -out client.csr
Enter pass phrase for client.key: ← 輸入上一步中創建的密碼
You are about to be asked to enter information that will be incorporated
into your certificate request.
What you are about to enter is what is called a Distinguished Name or a DN.
There are quite a few fields but you can leave some blank
For some fields there will be a default value,
If you enter 『.』, the field will be left blank.
—–
Country Name (2 letter code) [AU]:CN ← 國家名稱，中國輸入CN
State or Province Name (full name) [Some-State]:BeiJing ← 省名稱，拼音
Locality Name (eg, city) []:BeiJing ← 市名稱，拼音
Organization Name (eg, company) [Internet Widgits Pty Ltd]:MyCompany Corp. ← 公司英文名
Organizational Unit Name (eg, section) []: ← 可以不填
Common Name (eg, YOUR name) []:Lenin ← 自己的英文名，可以隨便填
Email Address []:[email protected] ← 電子郵箱，可以隨便填
Please enter the following 『extra』 attributes
to be sent with your certificate request
A challenge password []: ← 可以不填
An optional company name []: ← 可以不填
9. 創建一個自當前日期起有效期為兩年的客戶端證書client.crt：
openssl x509 -req -days 730 -sha1 -extensions v3_req -CA root.crt -CAkey root.key -CAserial root.srl -CAcreateserial -in client.csr -out client.crt
輸出內容為：
[lenin@archer ~]$ openssl x509 -req -days 730 -sha1 -extensions v3_req -CA root.crt -CAkey root.key -CAcreateserial -in client.csr -out client.crt
Signature ok
subject=/C=CN/ST=BeiJing/L=BeiJing/O=MyCompany Corp./CN=www.mycompany.com/[email protected]
Getting CA Private Key
Enter pass phrase for root.key: ← 輸入上面創建的密碼
10. 將客戶端證書文件client.crt和客戶端證書密鑰文件client.key合並成客戶端證書安裝包client.pfx：
openssl pkcs12 -export -in client.crt -inkey client.key -out client.pfx
輸出內容為：
[lenin@archer ~]$ openssl pkcs12 -export -in client.crt -inkey client.key -out client.pfx
Enter pass phrase for client.key: ← 輸入上面創建的密碼
Enter Export Password: ← 輸入一個新的密碼，用作客戶端證書的保護密碼，在客戶端安裝證書時需要輸入此密碼
Verifying – Enter Export Password: ← 確認密碼
11. 保存生成的文件備用，其中server.crt和server.key是配置單向SSL時需要使用的證書文件，client.crt是配置雙向SSL時需要使用的證書文件，client.pfx是配置雙向SSL時需要客戶端安裝的證書文件
.crt文件和.key可以合到一個文件裡面，把2個文件合成了一個.pem文件（直接拷貝過去就行了）
參考：http://sinolog.it/?p=1460
//////////////////////////////////////////////////////////////////////////////////////////////////////////////////////////////////////////////
//////////////////////////////////////////////////////////////////////////////////////////////////////////////////////////////////////////////
http://blog.sina.com.cn/s/blog_4fd50c390101891c.html
x509證書一般會用到三類文，key，csr，crt。
Key是私用密鑰openssl格，通常是rsa演算法。
Csr是證書請求文件，用於申請證書。在製作csr文件的時，必須使用自己的私鑰來簽署申，還可以設定一個密鑰。
crt是CA認證後的證書文，（windows下面的，其實是crt），簽署人用自己的key給你簽署的憑證。
1.key的生成
opensslgenrsa -des3 -out server.key 2048
這樣是生成rsa私鑰，des3演算法，openssl格式，2048位強度。server.key是密鑰文件名。為了生成這樣的密鑰，需要一個至少四位的密碼。可以通過以下方法生成沒有密碼的key:
opensslrsa -in server.key -out server.key
server.key就是沒有密碼的版本了。
2.生成CA的crt
opensslreq -new -x509 -key server.key -out ca.crt -days3650
生成的ca.crt文件是用來簽署下面的server.csr文件。
3.csr的生成方法
opensslreq -new -key server.key -outserver.csr
需要依次輸入國家，地區，組織，email。最重要的是有一個common name，可以寫你的名字或者域名。如果為了https申請，這個必須和域名吻合，否則會引發瀏覽器警報。生成的csr文件交給CA簽名後形成服務端自己的證書。
4.crt生成方法
CSR文件必須有CA的簽名才可形成證書，可將此文件發送到verisign等地方由它驗證，要交一大筆錢，何不自己做CA呢。
opensslx509 -req -days 3650 -in server.csr -CA ca.crt -CAkey server.key-CAcreateserial -out server.crt
輸入key的密鑰後，完成證書生成。-CA選項指明用於被簽名的csr證書，-CAkey選項指明用於簽名的密鑰，-CAserial指明序列號文件，而-CAcreateserial指明文件不存在時自動生成。
最後生成了私用密鑰：server.key和自己認證的SSL證書：server.crt
證書合並：
catserver.key server.crt > server.pem
J. 建行網銀根證書怎麼注冊
方法一：本方法適合從來沒有在網上申請或者使用網上銀行的人
1.拿著存摺(或銀行卡)、身份證去建行櫃台申請網上銀行，會讓你填一個申請單，其中你需要選擇是否要成為簽約客戶。櫃台工作人員會讓你設置網上銀行登錄密碼和支付密碼(這兩個都與銀行卡或存摺的密碼無關)。簽約客戶需要下載安全證書，才能以在網上交易(如轉帳)，不安裝的話就只能進行查詢操作。但是不安裝證書也可以買賣基金，而且可以將儲蓄帳戶里的錢和證券卡里的錢互轉。
2.打開建行網站www.ccb.com，點擊頁面左上方的網上銀行。用身份證號登錄，登錄後會彈出一個讓你下載證書的窗口，下載證書。證書的密碼是交易密碼，證書是一個文件，可以存在硬碟裡面。雙擊證書文件，就是導入證書，根據向導進行操作(其中包括輸入交易密碼)就可以了。
方法二：本方法適合於已經在網上申請成為網上銀行用戶，但是沒有到櫃台確認的。
1.登錄建行網站，點擊頁面左上方的網上銀行，頁面上應該有「申請網上銀行」的字樣。點擊，填寫相關的東西後會有下載證書的頁面。
2.到櫃台確認一下，成為簽約客戶。
如果證書下載後還是不能使用可以嘗試：電腦右下角的建行網盾標志，雙擊它，有個「系統檢測」，點下「控制項完全修復」。