我在舞会主页上使用自签名 SSL 证书。我认识几乎所有使用这个网站的人，所以我可以向他们保证，即使浏览器显示警告，证书也是值得信赖的。
问题是：如果我使用这个自签名证书，而我的同学仍然访问该网站，他们是否也会受到黑客和恶意软件攻击的威胁？
该网站不需要最高级别的安全性：该网站的唯一目的是聊天和订票；网站上没有付款！
编辑：
当你进入一个未加密的网站时，不会显示任何警告。这是否意味着没有加密比自制加密更好吗？我不这么认为！
答案1
自签名证书提供与普通证书类似的加密功能。但它不提供通常的识别功能。但正确的识别功能对于 HTTPS 至关重要，因为否则可能会出现服务器冒充和中间人攻击，这实际上会使加密失效。
您也可以使用自签名证书提供正确的身份证明，方法是预先向所有想要连接到您网站的人提供应该使用哪个证书的基本信息，即提供证书本身或指纹。当然，您必须以安全的方式提供这些信息（即在连接期间不在带内提供）。您还应该以某种方式确保其他人实际将获得的证书与预期证书进行比较，而不是简单地点击它。如果只有极少数人访问该网站，这种方法是可行的，但随着访问者的增多，这种方法就无法扩展。
非公共 CA 颁发的证书的另一个问题是 SSL 拦截。这通常是公司内部的做法，但也有几种防病毒产品会这样做。在这种情况下，使用无法验证的证书的站点通常会被 SSL 拦截阻止，因此需要明确添加例外情况。
答案2
可能发生的袭击
有人可能会利用以下软件劫持连接（尤其是使用公共 WiFi 时），但可能性很小sslstrip以便用攻击者想要的任何内容替换您发送到其浏览器的页面。例如，他们可以向受害者发送看起来与您的页面和实际信用卡接受网站一模一样的页面，捕获任何看起来像信用卡数据的内容。
除此之外，正如您所注意到的，Chrome 等浏览器针对自签名证书显示的威严警告可能会吓到用户。
免费证书签名
无需自签名证书。如果您能证明自己拥有该域名，则有证书颁发机构会免费为您签署证书一小段时间（这对于即将举行的舞会来说应该没问题）。使用其中一个。
这里有一些例子：
答案3
自签名证书仍将加密客户端（浏览器）和服务器之间的通信。
你应该关心的是，你的朋友连接的服务器是否是你的服务器，这没问题；或者是攻击者插入的另一个服务器，这肯定不行。
您的用户没有真正的方法知道这一点，除非您通过某种带外方法告诉他们证书的属性表明该证书属于您。您可以让每个人都知道指纹证书，但您的用户不太可能想要或知道如何检查这一点。他们无疑会接受任何出现的证书，无论它是您创建的真正的自签名证书还是恶意攻击者创建的自签名证书。
答案4
绝对不太安全。证书不是针对“您是否信任此网站”，而是针对“我和浏览此网站的用户之间的链中的任何计算机是否修改或查看了发布的内容”。
如果您使用自签名证书，而我是一个坏人，控制着您的服务器和访问该站点的人之间的计算机，那么我就可以制作自己的自签名证书，其中包含与您的证书完全相同的信息。这样我就可以拦截数据，解密数据，对其进行任何我想做的事情，用我的伪造自签名证书重新加密数据，然后将其发送给用户。
仅当您在用户访问不依赖证书本身的站点之前有一种安全的方式分发自签名证书时，自签名证书才是安全的。
老实说，如果该网站只是用于聊天和订票（但不支付费用），则不需要 SSL。