域名預(yù)訂/競(jìng)價(jià)，好“米”不錯(cuò)過(guò)

什么是根證書(shū)?什么是中間證書(shū)?提到這些,相信即使是獲取并安裝了SSL證書(shū)的人也會(huì)一臉懵。

首先向您提一個(gè)問(wèn)題:您的瀏覽器如何知道是否應(yīng)該信任網(wǎng)站的SSL證書(shū)? 受信任的根的任何下級(jí)證書(shū)都是受信任的。這在技術(shù)層面上是如何工作的呢?

當(dāng)你訪問(wèn)一個(gè)網(wǎng)站時(shí),瀏覽器會(huì)查看它的SSL證書(shū),并快速的驗(yàn)證證書(shū)的真實(shí)性。瀏覽器會(huì)檢查證書(shū)的有效期、確保證書(shū)沒(méi)有被撤銷、驗(yàn)證證書(shū)的數(shù)字簽名。

瀏覽器循著證書(shū)鏈對(duì)證書(shū)進(jìn)行身份驗(yàn)證的操作。要獲得頒發(fā)的SSL證書(shū),首先要生成證書(shū)簽名請(qǐng)求(CSR)和私鑰。最簡(jiǎn)單的迭代,你將CSR發(fā)送給證書(shū)頒發(fā)機(jī)構(gòu),然后它使用來(lái)自其根的私鑰簽署SSL證書(shū)并將其發(fā)送回來(lái)。

現(xiàn)在,當(dāng)瀏覽器看到SSL證書(shū)時(shí),它會(huì)看到證書(shū)是由其根存儲(chǔ)中的一個(gè)受信任根頒發(fā)的(或者更準(zhǔn)確地說(shuō),使用根的私鑰簽名)。因?yàn)樗湃胃?所以它信任根簽名的任何證書(shū)。

什么是中間證書(shū)?

證書(shū)頒發(fā)機(jī)構(gòu)不會(huì)直接從它們的根證書(shū)頒發(fā)服務(wù)器/葉子證書(shū)(最終用戶SSL證書(shū))。這些根證書(shū)太寶貴了,直接頒發(fā)風(fēng)險(xiǎn)太大了。

因此,為了保護(hù)根證書(shū),CAs通常會(huì)頒發(fā)所謂的中間根。CA使用它的私鑰對(duì)中間根簽名,使它受到信任。然后CA使用中間證書(shū)的私鑰簽署和頒發(fā)終端用戶SSL證書(shū)。這個(gè)過(guò)程可以執(zhí)行多次,其中一個(gè)中間根對(duì)另一個(gè)中間根進(jìn)行簽名,然后CA使用該根對(duì)證書(shū)進(jìn)行簽名。這些鏈接,從根到中間到葉子,都是證書(shū)鏈。

你可能會(huì)注意到,當(dāng)CA頒發(fā)SSL證書(shū)時(shí),它還會(huì)發(fā)送需要安裝的中間證書(shū)。這樣,瀏覽器就能夠完成證書(shū)鏈,并將服務(wù)器上的SSL證書(shū)鏈接回它的一個(gè)根。天威誠(chéng)信表示瀏覽器和操作系統(tǒng)處理不完整鏈的方式各不相同。有些只會(huì)在中間證書(shū)丟失時(shí)發(fā)出問(wèn)題并報(bào)錯(cuò),而另一些則會(huì)保存和緩存中間證書(shū),以防它們?nèi)蘸笈缮嫌脠?chǎng)。

數(shù)字簽名的作用是什么?

數(shù)字簽名有點(diǎn)像數(shù)字形式的公證。當(dāng)根證書(shū)對(duì)中間證書(shū)進(jìn)行數(shù)字簽名時(shí),它實(shí)際上是將部分信任轉(zhuǎn)移給中間證書(shū)。因?yàn)楹灻苯觼?lái)自受信任根證書(shū)的私鑰,所以它是自動(dòng)受信任的。

任何時(shí)候,只要向?yàn)g覽器或設(shè)備提供SSL證書(shū),它就會(huì)接收證書(shū)以及與證書(shū)關(guān)聯(lián)的公鑰。它通過(guò)公鑰驗(yàn)證數(shù)字簽名,并查看它是由誰(shuí)生成的(即由哪個(gè)證書(shū)簽名的)。你現(xiàn)在可以開(kāi)始把這些拼湊起來(lái)。當(dāng)您的瀏覽器在網(wǎng)站上驗(yàn)證最終用戶SSL證書(shū)時(shí),它使用提供的公鑰來(lái)驗(yàn)證簽名并在證書(shū)鏈上向上移動(dòng)一個(gè)鏈接。重復(fù)這個(gè)過(guò)程:對(duì)簽名進(jìn)行身份驗(yàn)證,并跟蹤簽名的證書(shū)鏈,直到最終到達(dá)瀏覽器信任存儲(chǔ)中的一個(gè)根證書(shū)。如果它不能將證書(shū)鏈回其受信任的根,它就不會(huì)信任該證書(shū)。

根CA和中間CA有什么區(qū)別呢?

這其實(shí)很簡(jiǎn)單。Root CA(根CA)是擁有一個(gè)或多個(gè)可信根的證書(shū)頒發(fā)機(jī)構(gòu)。這意味著它們根植于主流瀏覽器的信任存儲(chǔ)中。中間CAs或子CAs是由中間根發(fā)出的證書(shū)頒發(fā)機(jī)構(gòu)。 它們?cè)跒g覽器的信任存儲(chǔ)中沒(méi)有根,它們的中間根會(huì)鏈回到一個(gè)受信任的第三方根。這有時(shí)稱為交叉簽名。

正如我們前面討論的,CA并不直接從它們的根頒發(fā)證書(shū)。他們通過(guò)頒發(fā)中間證書(shū)并使用中間證書(shū)簽署證書(shū),增加根證書(shū)的安全性。這有助于在發(fā)生誤發(fā)或安全事件時(shí)最小化和劃分損害,當(dāng)安全事件發(fā)生時(shí),不需要撤銷根證書(shū),只需撤銷中間證書(shū),使從該中間證書(shū)發(fā)出的證書(shū)組不受信任。

為便于您理解,以上是簡(jiǎn)化了的內(nèi)容,實(shí)際過(guò)程通常復(fù)雜得多,除非您自身有所了解,否則會(huì)非常抽象。

申請(qǐng)創(chuàng)業(yè)報(bào)道，分享創(chuàng)業(yè)好點(diǎn)子。點(diǎn)擊此處，共同探討創(chuàng)業(yè)新機(jī)遇！