📚 课程目录第3章证书签发错误

3. 证书签发错误：自签名证书误用、有效期设置不当、CA选择错误

证书签发这件事，看着简单，其实坑特别多。我见过太多团队在证书签发环节翻车，轻则告警刷屏，重则设备直接离线。说白了，证书就是设备的「数字身份证」，签发环节出了错，后面所有信任关系都会崩塌。

这一章咱们就聊聊最常见的三类签发错误。嗯，都是我在项目里亲眼见过的。

自签名证书，就是自己给自己签发的证书。它没有经过任何第三方CA的认证。很多开发团队图省事，直接在设备上用了自签名证书，结果上线就出问题。

⚠️ 核心问题：自签名证书无法被其他设备或服务自动信任。除非你把它的根证书手动安装到每一台设备的信任存储里，否则任何TLS握手都会报「证书不可信」。

我遇到过的一个真实案例：某智能家居项目，开发阶段所有设备都用自签名证书，测试环境一切正常。结果到了量产部署，用户手机App死活连不上设备。查了两天才发现——App只信任预置的CA根证书，根本不认设备自签的证书。最后只能紧急OTA升级固件，把自签名逻辑改成CA签发逻辑。折腾了整整两周。

什么时候可以用自签名？我个人习惯只在以下场景使用：

什么时候绝对不能用？

💡 避坑指南：我曾经接手过一个项目，设备出厂时预置了自签名证书，想着「反正后面会OTA替换」。结果设备部署在偏远地区，网络不稳定，OTA一直失败。那批设备直到生命周期结束都没能换上正式证书。所以我的建议是——生产环境永远不要依赖「后续替换」，签发阶段就一步到位。

证书有效期这个事，看似简单，但恰恰是出问题最多的。我总结了两类典型错误：有效期太长和有效期太短。

有些团队觉得「证书签发一次不容易，干脆设个10年有效期」。你想想看，这相当于给设备发了一张10年不过期的身份证。一旦私钥泄露，攻击者可以用这张证书伪装成合法设备长达10年。

反过来，有些团队为了安全，把有效期设成30天甚至7天。这在云端服务没问题，但对于IoT设备就是灾难——设备可能部署在偏远地区，网络不稳定，无法及时续期。一旦证书过期，设备直接变砖。

我记得有个项目：某水表厂商把设备证书有效期设为90天，想着「定期轮换更安全」。结果设备安装在井下，信号极差。证书到期时正好赶上雨季，连续45天无法联网续期。整个小区的远程抄表全部中断，最后只能派人挨个井盖打开手动更新。

✅ 我的建议：
设备证书：1-2年，配合自动续期机制
中间CA证书：5-10年，离线存储
根CA证书：10-20年，物理隔离保管
一定要设置续期提醒，提前30天触发

CA（证书颁发机构）的选择，直接决定了你的证书体系是否可信。很多团队在这上面栽过跟头。

类型	优点	缺点	适用场景
公共CA	全球信任、无需额外配置	费用高、签发流程慢、有年费	面向公网的服务、用户App
私有CA	成本低、灵活、可自定义策略	需要自行管理信任链	企业内部设备、封闭网络

我个人的经验：对于IoT设备，绝大多数场景应该用私有CA。原因很简单——你不可能让每台智能灯泡都去申请一个公共CA证书，成本上完全不可行。但私有CA也有坑，最常见的就是根证书保护不当。

⚠️ 私有CA的致命错误：我曾经见过一个团队，把私有CA的根证书私钥直接放在一台连网的开发服务器上，权限还是777。这意味着任何能登录这台服务器的攻击者，都可以签发任意设备的证书。这相当于整个设备体系的信任基础完全暴露。

下面这张图梳理了证书签发错误的完整分类和补救路径，你可以对照着检查自己的项目：

说了这么多错误，最后给几条能直接落地的最佳实践：

💡 最后说一句：证书签发不是「签完就完事」的工作。它需要持续管理、监控和优化。我见过太多项目在证书上省事，结果后面花十倍精力去补救。嗯，希望你能从一开始就把这件事做对。