没有服务器证书的传输层安全性

Question

有没有一种方法可以保护传输层而不需要任何服务器证书？

我读了RFC4492，它说有一个名为ECDH_ANON的密钥交换算法可以做到这一点，但在许多链接上，我发现不推荐使用它，因为它容易受到MITM (中间人)攻击。

我只想提一下，我的服务器不是公共的，并且我的服务器和客户机在同一个本地子网中。我的服务器正在接受websocket上的连接。

如果我想保护我的传输层，有哪些选项？我不想通过手动加密负载来做到这一点。

Answer 1

如果您的服务器和客户端支持，您可以使用名为TLS-SRP的解决方案。但可能更常见的做法是为本地系统安装自签名服务器证书，或者设置自己的CA并向服务器颁发自己的证书，然后在客户机上将CA的根证书安装为受信任的根证书。