补齐证书链

『壹』 老师你好，在ssl证书中，cer是公钥证书，key是私钥证书，crt是证书链对吗

一、SSL证书文件

如图所示，就是一些SSL证书文件。上图带有root CA 字样的证书文件就是根证书， 然后带intermediate ca 字样的就是中间证书文件， 最后一个 ssl servercertificate 字样的证书即为证书文件。

了解认识SSL证书文件，才能更好的去安装SSL证书。虽然大部分时候直接安装证书文件，浏览器也会显示安全，但是由于一些浏览器会自动补齐证书链，但是证书链缺失的话，一些手机端或者部分浏览器可能会报不安全的提醒，所以在安装的时候建议安装完整的证书文件，补齐证书链。

二、SSL证书格式

在SSL证书源文件中你会发现有很多格式。不同的web服务器对于证书的格式是有要求的，接下来也带大家了解下不同格式的证书文件。

PEM：- Privacy Enhanced Mail,打开看文本格式,以”—–BEGIN…”开头, “—–END…”结尾,内容是BASE64编码.上述一般证书文件 ，中间证书和根证书，证书文件很多都是pem格式的。Apache和NIgnix服务器偏向于使用这种编码格式.

DER：这种格式也是常见的证书格式，跟pem类似，中间证书和根证书，证书文件很多都是DER的，Java和Windows服务器偏向于使用这种编码格式。

JKS ：jks是Java密钥库(KeyStore)比较常见的一种格式。一般可用通过cer 或者pem 格式的证书以及私钥的进行转化为jks格式，有密码保护。所以它是带有私钥的证书文件，一般用户tomcat环境的安装

PFX：pfx格式的证书 也是由cer 或者pem格式的证书文件以及私钥转化而来，所以该证书文件也是带有私钥的证书文件，一般用于iis 环境的证书安装。

『贰』 好几年前买中国黄金买的钻石项链,证书发票都掉了,怎么换

证书丢失就等同于放弃了免费换款的权利，不能换。
有一类特殊情况下，你的首饰给你预估一个价，再兑换，补齐差价，明白吗？

『叁』 如何查询教师资格证书号码

您好，教师资格证书上会有标明证书编号，如果证书遗失破损，您可以查看您人事档案中的《教师资格认定申请表》，表上有证书号码。如果您的人事档案中没有《教师资格认定申请表》或表上没有证书号码，务请联系原教师资格认定机构补齐。

或者登录中国教师资格网（网页链接）找到右侧，认定人网报查询入口，点击进入并登录本人信息，在个人中心，可以查询到17位的教师资格证书编号。希望有帮助到您~

『肆』 应急管理局证书遗失怎么补办

新版证书不需要补办。

2019年，应急管理厅对特种作业操作证样式进行更新，并启用了新版证书式样和电子证书。

电子证书具有与实体证书同等法律效力。

PVC卡实体证书将由各级考核发证部门统一样式自行制作，根据取证人需要核发。

也就是说，持证人的有效身份证明将包括PVC卡实体证书、电子证书和纸质打印证书。

『伍』 全国教师信息管理系统未报送,无报送按钮怎么办

重庆市2020年中小学教师资格认定网报时间为：6月10日 9:00--6 月 24 日 17：00，从今天起大家就可以在网上进行申请认定了！虽然资格认定工作的通知大家都已经看了，重庆教资认定时间已定！6月10日开始申报！但是小伙伴们对于如何认定还是有很多问题。
小编今天就手把手来教大家全国教师资格证认定网上报名操作详细流程，希望能给大家提供帮助！
一、登录官网
申请人登录中国教师资格网(http://www.jszg.e.cn)，将看到中国教师资格网首页如下图:
申请人进入申报系统的入口为：“教师资格认定申请人网报入口”
点击进入申报系统登录界面：
二、申请人账号注册
申请人在首次登录本申报系统须注册账号，点击登录页面中“注册”按钮，将出现实名注册界面：
操作步骤流程：
请先点击页面下方《中国教师资格网注册协议》按钮，仔细阅读“中国教师资格网用户账号注册协议”，并点击“我同意遵守协议”按钮，后点击“关闭”按钮，关闭本页面。
账号注册，请选择符合自己身份的证件类型(持有身份证的中国公民，证件类型须选择“身份证”)，准确填写所选择证件类型对应的证件号码及姓名。
请设置登录密码，密码设置要求为8位以上数字、字母和特殊符号组合(特殊字符请从“#、%、*、-、_ 、!、@、$、&”中选取)，并再次输入登录密码以确认。
请设置个人电子邮箱，用于找回密码。
请输入11位手机号码，用于找回密码及身份验证。
请拖动滑块补全拼图，右侧出现“√”即为拼图成功。请点击“免费获取验证码”按钮，获取短信验证码，并填写在信息框中。请在“我已阅读并同意《中国教师资格网注册协议》”中的选框中勾选，点击下方的“提交”按钮，完成账号注册。账号注册完成，请点击“返回”登录页面。
三、申请人登录申报系统
在登录页面，申请人正确填写自己注册的账号(证件号码)和密码，拖动滑块补全拼图，点击“登录”按钮完成登录。
登录成功，对于注册后首次登陆的或个人信息没有完善的用户，首先请完善个人身份信息，填写民族信息，对于以证件类型为：港澳台居民居住证、港澳居民来往内地通行证、五年内有效期台湾居民来往大陆通行证注册的用户，还需要填写性别、出生日期、民族及分别填写港澳居民身份证号码和在台湾居住的有效身份证号码，检查无误后，点击“提交”按钮，提交信息。
个人信息中心界面，在此界面中包含以下模块：个人身份信息、教师资格考试信息、普通话证书信息、学历学籍信息、学位证书信息。
(a)个人身份信息
此模块下您按照页面提示，可以修改个人身份信息、修改密码、修改手机号码等
(b)教师资格考试信息
参加国家教师资格考试且成绩合格的申请人，此处将呈现您的考试合格证明上的相关信息，系统自动同步，无需自己填写。
(c)普通话证书信息
在此模块下点击“新增”按钮，出现证书新增对话框，请按照右侧的操作步骤进行操作
…………
(d)学历学籍信息
学籍信息在认定报名过程中填写。
学历信息：在此模块下点击“新增”按钮，按照右侧的操作步骤进行证书核验，在“核验学历”类型下，输入证书编号，点击“核验”按钮，系统将在全国高等学校学生信息咨询与就业指导中心(学信网)信息管理系统中获取对应学历证书的相关信息。如果核验不到信息，请检查当前核验的用户信息是否与学历证书信息中的"姓名、证件号码、证书编号"是否一致;如果检查无误后，仍然核验不到的证书信息，请选择“无法核验的学历”类型，补全相关信息并上传对应的电子版证书(中师、幼师及其他中专学历，请选择“无法核验的学历”类型)。所持有的学历为港澳台地区学历或者国外留学学历，请选择相应类型进行操作，补充完善学历证书信息，并上传教育部留学服务中心的学历认证报告电子版。
…………
(e)学位证书信息
根据您学位证书上的真实信息，补齐本页面上所空缺的信息。
如果是应届毕业生申请，学位名称请选择“无学位”，学位证书编号对应为“无”。

完善个人信息后，点击顶部导航栏中“业务平台”按钮，您将看到页面中“业务平台”界面，如下：
四、教师资格认定
在业务平台页面下，选择教师资格认定业务模块，首先点击“须知”按钮，仔细阅读教师资格认定申请人必读中的内容。
在此页面下 请下载《个人承诺书》并按照个人承诺书中的说明进行操作，待报名时使用。
阅读完毕后，请在右上角点击“返回业务平台”按钮，返回业务平台，选择教师资格认定业务模块下，点击“报名”按钮，请仔细阅读教师资格认定网上申报协议，阅读完毕，请勾选下方“已阅读并完全同意本协议”的勾选框，
点击“下一步”进入填写身份信息页面，
如以“国家统一考试”形式参与认定，请选择本人名下考试合格证明信息(以报名时间为准，合格证在有效期内的方能选择使用);
如以非国家统一考试(含免考)参与认定，则不用选择。
然后选择本人名下的普通话证书信息参与本次认定，选择普通话免测的，需符合普通话免测政策，具体普通话免测政策请以省级教育行政部门规定为准。
如果是非应届毕业生，请在“是否应届毕业生”处，选择否，并勾选相应的学历和学籍信息。
如果是应届毕业生，请在“是否应届毕业生”
处，选择”是“，请点击“同步学籍”按钮，获取在校学籍信息。
如未同步到信息，请点击“补充数据”按钮进行补充学籍信息，填写本人学籍信息，点击“保存”按钮，上传信息。
如果添加信息有误，请点击“修改”按钮进行修改，后提交即可，如您不需要保留本条信息，请到“个人信息中心”，“学历学籍”模块下，选择“学籍信息”后，点击“删除”按钮删除。点击“下一步”按钮，填写选择认定机构信息，根据本人实际情况选择认定所在地信息、认定机构信息及确认点信息，点击“下一步”按钮，看到填写认定信息。
在填写认定信息页面下，根据实际情况填写本人的认定信息，并上传个人近期本人1寸免冠正面证件照(照片大小小于200k，图片为jpg格式，须与教师资格证书上粘贴的照片为同一底版)，如需修改请点击图片，重新选择。
请点击《个人承诺书》链接，下载《个人承诺书》并完成其要求操作后，点击 “点击上传”，上传完整图片(图片大小小于200K,格式为jpg格式);利用“选择框”将个人承诺书图片中虚线框中的内容完整选择后，点击“上传”按钮;
如需修改请点击图片，重新选择。
根据个人实际情况填写个人简历信息。
填写完成后点击“下一步”按钮，看到确认信息页面，请仔细核对信息，如有错误，请及时在本页面更改，如确认无误，点击“下一步”按钮，看到提交信息页面。
在提交信息页面，您将看到申报提醒，请仔细阅读，并牢记现场确认的时间，确认点信息等，请自己阅读个人承诺，并在页面下方勾选是否同意，如选择的不同意，点击“提交”按钮，您将放弃本次报名，返回业务平台;申请认定报名成功!请您务必在系统“业务平台”页面“教师资格认定信息”记录中点击“注意事项”按钮，查看相关内容，在认定状态处查看认定进度，且在规定时间内携带认定通知或公告要求提交的材料进行现场确认。申请认定报名成功!请您务必在系统“业务平台”页面“教师资格认定信息”记录中点击“注意事项”按钮，查看相关内容，在认定状态处查看认定进度，且在规定时间内携带认定通知或公告要求提交的材料进行现场确认。
警示
一、中国教师资格网（www.jszg.e.cn）是教师资格认定唯一官网，中国教师资格网没有其他网站与网址。
二、中国教师资格网是我国教师资格证书信息查询的官方平台。自2008年起我国公民依法获得的教师资格证书可在中国教师资格网进行验证。教师资格证书信息不存在“国网不可查、省网可查”现象。
三、如发现教师资格证书制假贩假行为或疑似仿冒教育行政部门官方网站、提供假冒教师资格证书真伪查询的，请第一时间拨打010-58800171进行核实或拨打110进行举报。
中国教师资格网特此提醒用人单位提高警惕，以防上当受骗。同时，也再次郑重告诫教师资格申请人，作为未来的人民教师，应诚实守信，依法申请认定教师资格，对购买和使用虚假教师资格证书行为说“不”！对弄虚作假骗取教师资格和使用假教师资格证书的，一经查实，将被收缴证书，依法撤销教师资格，五年内不得申请认定教师资格，同时，记入全国教师管理信息系统

『陆』 2020济宁公务员考试容缺机制是什么

济宁市今年公务员报考正在进行中，今年我看着与往年不一样了啊，放宽了许多，学历是大专以上学历，年龄上也放宽到了三十五

『柒』 2019年上半年教师资格证面试成绩昨天有在中国教师资格网查到合格证书编号的，河北省的有多少查到的呢

2019年上半年教师资格证面试成绩昨天没有在中国教师资格网上查到合格证书编号的，河北省也没有查到的。按照《河北省关于2019年上半年中小学教师资格考试（面试）有关事项的公告》，2019年6月11日报名网站上才公布面试成绩。另外，2019年上半年面试报名的网站是中国教育考试网，也叫”中小学教师资格考试“网，而不是中国教师资格网。

『捌』 https建立连接的的过程是怎么样的

您好，根据您所提出的问题，我整理出以下资料
HTTPS基本原理
一、http为什么不安全？
http协议没有任何的加密以及身份验证的机制，非常容易遭遇窃听、劫持、篡改，因此会造成个人隐私泄露，恶意的流量劫持等严重的安全问题。

国外很多网站都支持了全站https，国内方面目前网络已经在年初完成了搜索的全站https，其他大型的网站也在跟进中，网络最先完成全站https的最大原因就是网络作为国内最大的流量入口，劫持也必然是首当其冲的，造成的有形的和无形的损失也就越大。关于流量劫持问题，我在另一篇文章中也有提到，基本上是互联网企业的共同难题，https也是目前公认的比较好的解决方法。但是https也会带来很多性能以及访问速度上的牺牲，很多互联网公司在做大的时候都会遇到这个问题：https成本高，速度又慢，规模小的时候在涉及到登录和交易用上就够了，做大以后遇到信息泄露和劫持，想整体换，代价又很高。
2、https如何保证安全
要解决上面的问题，就要引入加密以及身份验证的机制。

这时我们引入了非对称加密的概念，我们知道非对称加密如果是公钥加密的数据私钥才能解密，所以我只要把公钥发给你，你就可以用这个公钥来加密未来我们进行数据交换的秘钥，发给我时，即使中间的人截取了信息，也无法解密，因为私钥在我这里，只有我才能解密，我拿到你的信息后用私钥解密后拿到加密数据用的对称秘钥，通过这个对称密钥来进行后续的数据加密。除此之外，非对称加密可以很好的管理秘钥，保证每次数据加密的对称密钥都是不相同的。
但是这样似乎还不够，如果中间人在收到我的给你公钥后并没有发给你，而是自己伪造了一个公钥发给你，这是你把对称密钥用这个公钥加密发回经过中间人，他可以用私钥解密并拿到对称密钥，此时他在把此对称密钥用我的公钥加密发回给我，这样中间人就拿到了对称密钥，可以解密传输的数据了。为了解决此问题，我们引入了数字证书的概念。我首先生成公私钥，将公钥提供给相关机构（CA），CA将公钥放入数字证书并将数字证书颁布给我，此时我就不是简单的把公钥给你，而是给你一个数字证书，数字证书中加入了一些数字签名的机制，保证了数字证书一定是我给你的。

所以综合以上三点： 非对称加密算法（公钥和私钥）交换秘钥 + 数字证书验证身份（验证公钥是否是伪造的） + 利用秘钥对称加密算法加密数据 = 安全

3、https协议简介
为什么是协议简介呢？因为https涉及的东西实在太多了，尤其是一些加密算法，非常的复杂，对于这些算法面的东西就不去深入研究了，这部分仅仅是梳理一下一些关于https最基本的原理，为后面分解https的连接建立以及https优化等内容打下理论基础。
3.1 对称加密算法
对称加密是指加密和解密使用相同密钥的加密算法。它要求发送方和接收方在安全通信之前，商定一个密钥。对称算法的安全性依赖于密钥，泄漏密钥就意味着任何人都可以对他们发送或接收的消息解密，所以密钥的保密性对通信至关重要。
对称加密又分为两种模式：流加密和分组加密。
流加密是将消息作为位流对待，并且使用数学函数分别作用在每一个位上，使用流加密时，每加密一次，相同的明文位会转换成不同的密文位。流加密使用了密钥流生成器，它生成的位流与明文位进行异或，从而生成密文。现在常用的就是RC4，不过RC4已经不再安全，微软也建议网络尽量不要使用RC4流加密。
分组加密是将消息划分为若干位分组，这些分组随后会通过数学函数进行处理，每次一个分组。假设需要加密发生给对端的消息，并且使用的是64位的分组密码，此时如果消息长度为640位，就会被划分成10个64位的分组，每个分组都用一系列数学公式公式进行处理，最后得到10个加密文本分组。然后，将这条密文消息发送给对端。对端必须拥有相同的分组密码，以相反的顺序对10个密文分组使用前面的算法解密，最终得到明文的消息。比较常用的分组加密算法有DES、3DES、AES。其中DES是比较老的加密算法，现在已经被证明不安全。而3DES是一个过渡的加密算法，相当于在DES基础上进行三重运算来提高安全性，但其本质上还是和DES算法一致。而AES是DES算法的替代算法，是现在最安全的对称加密算法之一。分组加密算法除了算法本身外还存在很多种不同的运算方式，比如ECB、CBC、CFB、OFB、CTR等，这些不同的模式可能只针对特定功能的环境中有效，所以要了解各种不同的模式以及每种模式的用途。这个部分后面的文章中会详细讲。
对称加密算法的优、缺点：
优点：算法公开、计算量小、加密速度快、加密效率高。
缺点：（1）交易双方都使用同样钥匙，安全性得不到保证；
（2）每对用户每次使用对称加密算法时，都需要使用其他人不知道的惟一钥匙，这会使得发收信双方所拥有的钥匙数量呈几何级数增长，密钥管理成为用户的负担。
（3）能提供机密性，但是不能提供验证和不可否认性。
3.2 非对称加密算法
在非对称密钥交换算法出现以前，对称加密一个很大的问题就是不知道如何安全生成和保管密钥。非对称密钥交换过程主要就是为了解决这个问题，使得对称密钥的生成和使用更加安全。
密钥交换算法本身非常复杂，密钥交换过程涉及到随机数生成，模指数运算，空白补齐，加密，签名等操作。
常见的密钥交换算法有RSA，ECDHE，DH，DHE等算法。涉及到比较复杂的数学问题，下面就简单介绍下最经典的RSA算法。RSA：算法实现简单，诞生于1977年，历史悠久，经过了长时间的破解测试，安全性高。缺点就是需要比较大的素数也就是质数（目前常用的是2048位）来保证安全强度，很消耗CPU运算资源。RSA是目前唯一一个既能用于密钥交换又能用于证书签名的算法。我觉得RSA可以算是最经典的非对称加密算法了，虽然算法本身都是数学的东西，但是作为最经典的算法，我自己也花了点时间对算法进行了研究，后面会详细介绍。
非对称加密相比对称加密更加安全，但也存在两个明显缺点：
1，CPU计算资源消耗非常大。一次完全TLS握手，密钥交换时的非对称解密计算量占整个握手过程的90%以上。而对称加密的计算量只相当于非对称加密的0.1%，如果应用层数据也使用非对称加解密，性能开销太大，无法承受。
2，非对称加密算法对加密内容的长度有限制，不能超过公钥长度。比如现在常用的公钥长度是2048位，意味着待加密内容不能超过256个字节。
所以公钥加密（极端消耗CPU资源）目前只能用来作密钥交换或者内容签名，不适合用来做应用层传输内容的加解密。

3.3 身份认证
https协议中身份认证的部分是由数字证书来完成的，证书由公钥、证书主体、数字签名等内容组成，在客户端发起SSL请求后，服务端会将数字证书发给客户端，客户端会对证书进行验证（验证查看这张证书是否是伪造的？也就是公钥是否是伪造的），并获取用于秘钥交换的非对称密钥（获取公钥）。
数字证书有两个作用：
1，身份授权。确保浏览器访问的网站是经过CA验证的可信任的网站。
2，分发公钥。每个数字证书都包含了注册者生成的公钥（验证确保是合法的，非伪造的公钥）。在SSL握手时会通过certificate消息传输给客户端。
申请一个受信任的数字证书通常有如下流程：
1，终端实体（可以是一个终端硬件或者网站）生成公私钥和证书请求。
2，RA（证书注册及审核机构）检查实体的合法性。如果个人或者小网站，这一步不是必须的。
3，CA（证书签发机构）签发证书，发送给申请者。
4，证书更新到repository（负责数字证书及CRL内容存储和分发），终端后续从repository更新证书，查询证书状态等。
数字证书验证：
申请者拿到CA的证书并部署在网站服务器端，那浏览器发起握手接收到证书后，如何确认这个证书就是CA签发的呢？怎样避免第三方伪造这个证书？答案就是数字签名（digital signature）。数字签名是证书的防伪标签，目前使用最广泛的SHA-RSA（SHA用于哈希算法，RSA用于非对称加密算法）数字签名的制作和验证过程如下：
1，数字签名的签发。首先是使用哈希函数对待签名内容进行安全哈希，生成消息摘要，然后使用CA自己的私钥对消息摘要进行加密。
2，数字签名的校验。使用CA的公钥解密签名，然后使用相同的签名函数对待签名证书内容进行签名并和服务端数字签名里的签名内容进行比较，如果相同就认为校验成功。

需要注意的是：
1）数字签名签发和校验使用的密钥对是CA自己的公私密钥，跟证书申请者提交的公钥没有关系。
2）数字签名的签发过程跟公钥加密的过程刚好相反，即是用私钥加密，公钥解密。
3）现在大的CA都会有证书链，证书链的好处一是安全，保持根CA的私钥离线使用。第二个好处是方便部署和撤销，即如果证书出现问题，只需要撤销相应级别的证书，根证书依然安全。
4）根CA证书都是自签名，即用自己的公钥和私钥完成了签名的制作和验证。而证书链上的证书签名都是使用上一级证书的密钥对完成签名和验证的。
5）怎样获取根CA和多级CA的密钥对？它们是否可信？当然可信，因为这些厂商跟浏览器和操作系统都有合作，它们的公钥都默认装到了浏览器或者操作系统环境里。
3.4 数据完整性验证
数据传输过程中的完整性使用MAC算法来保证。为了避免网络中传输的数据被非法篡改，SSL利用基于MD5或SHA的MAC算法来保证消息的完整性。 MAC算法是在密钥参与下的数据摘要算法，能将密钥和任意长度的数据转换为固定长度的数据。发送者在密钥的参与下，利用MAC算法计算出消息的MAC值，并将其加在消息之后发送给接收者。接收者利用同样的密钥和MAC算法计算出消息的MAC值，并与接收到的MAC值比较。如果二者相同，则报文没有改变；否则，报文在传输过程中被修改，接收者将丢弃该报文。 由于MD5在实际应用中存在冲突的可能性比较大，所以尽量别采用MD5来验证内容一致性。SHA也不能使用SHA0和SHA1，中国山东大学的王小云教授在2005年就宣布破解了 SHA-1完整版算法。微软和google都已经宣布16年及17年之后不再支持sha1签名证书。MAC算法涉及到很多复杂的数学问题，这里就不多讲细节了。

专题二--【实际抓包分析】

抓包结果：
fiddler：

wireshark:

可以看到，网络和我们公司一样，也采用以下策略：
（1）对于高版本浏览器，如果支持 https，且加解密算法在TLS1.0 以上的，都将所有 http请求重定向到 https请求
（2）对于https请求，则不变。

【以下只解读https请求】
1、TCP三次握手

可以看到，我们访问的是 http://www..com/ ， 在初次建立 三次握手的时候， 用户是去 连接 8080端口的（因为公司办公网做了代理，因此，我们实际和代理机做的三次握手，公司代理机再帮我们去连接网络服务器的80端口）

2、CONNECT 建立
由于公司办公网访问非腾讯域名，会做代理，因此，在进行https访问的时候，我们的电脑需要和公司代理机做 " CONNECT " 连接（关于 " CONNECT " 连接， 可以理解为虽然后续的https请求都是公司代理机和网络服务器进行公私钥连接和对称秘钥通信，但是，有了 " CONNECT " 连接之后，可以认为我们也在直接和网络服务器进行公私钥连接和对称秘钥通信。 ）

fiddler抓包结果：

CONNECT之后， 后面所有的通信过程，可以看做是我们的机器和网络服务器在直接通信

3、 client hello
整个 Secure Socket Layer只包含了： TLS1.2 Record Layer内容

（1）随机数
在客户端问候中，有四个字节以Unix时间格式记录了客户端的协调世界时间（UTC）。协调世界时间是从1970年1月1日开始到当前时刻所经历的秒数。在这个例子中，0x2516b84b就是协调世界时间。在他后面有28字节的随机数（ random_C ），在后面的过程中我们会用到这个随机数。

（2）SID（Session ID）
如果出于某种原因，对话中断，就需要重新握手。为了避免重新握手而造成的访问效率低下，这时候引入了session ID的概念， session ID的思想很简单，就是每一次对话都有一个编号（session ID）。如果对话中断，下次重连的时候，只要客户端给出这个编号，且服务器有这个编号的记录，双方就可以重新使用已有的"对话密钥"，而不必重新生成一把。
因为我们抓包的时候，是几个小时内第一次访问 https://www.bao.com 首页，因此，这里并没有 Session ID. （稍会儿我们会看到隔了半分钟，第二次抓包就有这个Session ID）
session ID是目前所有浏览器都支持的方法，但是它的缺点在于session ID往往只保留在一台服务器上。所以，如果客户端的请求发到另一台服务器，就无法恢复对话。session ticket就是为了解决这个问题而诞生的，目前只有Firefox和Chrome浏览器支持。

（3） 密文族（Cipher Suites）：
RFC2246中建议了很多中组合，一般写法是"密钥交换算法-对称加密算法-哈希算法，以“TLS_RSA_WITH_AES_256_CBC_SHA”为例：
（a） TLS为协议，RSA为密钥交换的算法；
（b） AES_256_CBC是对称加密算法（其中256是密钥长度，CBC是分组方式）；
（c） SHA是哈希的算法。
浏览器支持的加密算法一般会比较多，而服务端会根据自身的业务情况选择比较适合的加密组合发给客户端。（比如综合安全性以及速度、性能等因素）
（4） Server_name扩展：（ 一般浏览器也支持 SNI（Server Name Indication））
当我们去访问一个站点时，一定是先通过DNS解析出站点对应的ip地址，通过ip地址来访问站点，由于很多时候一个ip地址是给很多的站点公用，因此如果没有server_name这个字段，server是无法给与客户端相应的数字证书的，Server_name扩展则允许服务器对浏览器的请求授予相对应的证书。

还有一个很好的功能： SNI（Server Name Indication）。这个的功能比较好，为了解决一个服务器使用多个域名和证书的SSL/TLS扩展。一句话简述它的工作原理就是，在连接到服务器建立SSL连接之前先发送要访问站点的域名（Hostname），这样服务器根据这个域名返回一个合适的CA证书。目前，大多数操作系统和浏览器都已经很好地支持SNI扩展，OpenSSL 0.9.8已经内置这一功能，据说新版的nginx也支持SNI。）
4、 服务器回复（包括 Server Hello， Certificate， Certificate Status）
服务器在收到client hello后，会回复三个数据包,下面分别看一下：
1）Server Hello

1、我们得到了服务器的以Unix时间格式记录的UTC和28字节的随机数 （random_S）。
2、Seesion ID，服务端对于session ID一般会有三种选择 （稍会儿我们会看到隔了半分钟，第二次抓包就有这个Session ID） ：
1）恢复的session ID：我们之前在client hello里面已经提到，如果client hello里面的session ID在服务端有缓存，服务端会尝试恢复这个session；
2）新的session ID：这里又分两种情况，第一种是client hello里面的session ID是空值，此时服务端会给客户端一个新的session ID，第二种是client hello里面的session ID此服务器并没有找到对应的缓存，此时也会回一个新的session ID给客户端；
3）NULL：服务端不希望此session被恢复，因此session ID为空。
3、我们记得在client hello里面，客户端给出了21种加密族，而在我们所提供的21个加密族中，服务端挑选了“TLS_ECDHE_RSA_WITH_AES_128_GCM_SHA256”。
（a） TLS为协议，RSA为密钥交换的算法；
（b） AES_256_CBC是对称加密算法（其中256是密钥长度，CBC是分组方式）；
（c） SHA是哈希的算法。
这就意味着服务端会使用ECDHE-RSA算法进行密钥交换，通过AES_128_GCM对称加密算法来加密数据，利用SHA256哈希算法来确保数据完整性。这是网络综合了安全、性能、访问速度等多方面后选取的加密组合。

2）Certificate

在前面的https原理研究中，我们知道为了安全的将公钥发给客户端，服务端会把公钥放入数字证书中并发给客户端（数字证书可以自签发，但是一般为了保证安全会有一个专门的CA机构签发），所以这个报文就是数字证书，4097 bytes就是证书的长度。
我们打开这个证书，可以看到证书的具体信息，这个具体信息通过抓包报文的方式不是太直观，可以在浏览器上直接看。 （点击 chrome 浏览器 左上方的 绿色 锁型按钮）

3）Server Hello Done
我们抓的包是将 Server Hello Done 和 server key exchage 合并的包：

4）客户端验证证书真伪性
客户端验证证书的合法性，如果验证通过才会进行后续通信，否则根据错误情况不同做出提示和操作，合法性验证包括如下：
证书链的可信性trusted certificate path，方法如前文所述；
证书是否吊销revocation，有两类方式离线CRL与在线OCSP，不同的客户端行为会不同；
有效期expiry date，证书是否在有效时间范围；
域名domain，核查证书域名是否与当前的访问域名匹配，匹配规则后续分析；

5）秘钥交换

这个过程非常复杂，大概总结一下：

（1）首先，其利用非对称加密实现身份认证和密钥协商，利用非对称加密，协商好加解密数据的 对称秘钥（外加CA认证，防止中间人窃取 对称秘钥）
（2）然后，对称加密算法采用协商的密钥对数据加密，客户端和服务器利用 对称秘钥 进行通信；
（3）最后，基于散列函数验证信息的完整性，确保通信数据不会被中间人恶意篡改。

此时客户端已经获取全部的计算协商密钥需要的信息：两个明文随机数random_C和random_S与自己计算产生的Pre-master（由客户端和服务器的 pubkey生成的一串随机数），计算得到协商对称密钥;
enc_key=Fuc(random_C, random_S, Pre-Master)

6）生成 session ticket

如果出于某种原因，对话中断，就需要重新握手。为了避免重新握手而造成的访问效率低下，这时候引入了session ID的概念， session ID的思想很简单，就是每一次对话都有一个编号（session ID）。如果对话中断，下次重连的时候，只要客户端给出这个编号，且服务器有这个编号的记录，双方就可以重新使用已有的"对话密钥"，而不必重新生成一把。
因为我们抓包的时候，是几个小时内第一次访问 https://www.bao.com 首页，因此，这里并没有 Session ID. （稍会儿我们会看到隔了半分钟，第二次抓包就有这个Session ID）
session ID是目前所有浏览器都支持的方法，但是它的缺点在于session ID往往只保留在一台服务器上。所以，如果客户端的请求发到另一台服务器，就无法恢复对话。session ticket就是为了解决这个问题而诞生的，目前只有Firefox和Chrome浏览器支持。
后续建立新的https会话，就可以利用 session ID 或者 session Tickets ， 对称秘钥可以再次使用，从而免去了 https 公私钥交换、CA认证等等过程，极大地缩短 https 会话连接时间。

7） 利用对称秘钥传输数据

【半分钟后，再次访问网络】：
有这些大的不同：

由于服务器和浏览器缓存了 Session ID 和 Session Tickets，不需要再进行 公钥证书传递，CA认证，生成 对称秘钥等过程，直接利用半分钟前的 对称秘钥 加解密数据进行会话。
1）Client Hello

2）Server Hello

『玖』 再生资源回收服务企业资质证书在哪部门办理

摘要 你好，同学，再生资源回收服务企业须提交申请文件送经贸局审核办理。

『拾』 有ssl证书和ssl证书链可以更新服务器上apache的ssl吗

不可以，还需要私钥。

解释原因：

1. SSL证书组成包括：CA根证书（证书链）、证书（域名证书）、私钥（密钥）组成。

2. CA根证书（证书链）、证书（域名证书），这是颁发机构给您。

3. 私钥（密钥），是自己提交CSR请求生成的，当然也有的也是颁发机构提供。

解决办法：补充私钥后然在补齐服务器的SSL证书。