SSL 链如何工作？

Question

为什么需要中间证书颁发机构？什么时候使用中间证书？如何验证从中间证书到根证书的链？链接到根证书的中间证书示例有哪些？

Answer 1

为什么需要中间证书颁发机构？什么时候使用中间证书？

有时，为了保护根 CA 的私钥，它存储在一个非常安全的位置，仅用于签署一些中间证书，然后用于颁发最终实体证书。万一受到威胁，可以快速撤销中间人，而无需重新配置每台机器以信任新的 CA。

另一个可能的原因是委托：例如，像谷歌这样的公司，它们经常为自己的网络使用许多证书，它们将拥有自己的中间 CA。

如何验证从中间证书到根证书的链？

通常，最终实体（例如，SSL/TLS Web 服务器）为您提供整个证书链，您所要做的就是验证签名。

该链中的最后一个是根证书，您已将其标记为受信任。

例如，当你有一个链[user] 时？[intermed-1] ? [intermed-2] ? [root]，验证是这样的：

1. [用户]是否将[intermed-1]作为其“发行人”？

2. [user]是否通过[intermed-1]的密钥具有有效签名？

3. DOES [中间物-1]具有[中间物-2]作为它的“发行者”？

4. 确实[中间物-1]有一个有效的签名[中间物-2]的关键？

5. 确实[中间物-2]有[根]作为其“发行人”？

6. 确实[中间物-2]有一个有效的签名[根]的关键？

7. 由于[root]位于链的底部并且将自身作为“发行者”，它是否被标记为受信任的？

这个过程一直都是一样的；中间 CA 的存在和数量无关紧要。用户证书可以直接由root签名，同样的方式验证。

链接到根证书的中间证书示例有哪些？

对于包含三个或四个证书的链，请参阅https://twitter.com/或https://www.facebook.com/的证书信息。另请参阅https://www.google.com/以获取 Google 自己的证书颁发机构的示例。