证书信任链

以SSL证书为例：

在购买SSL证书时，就可以获得保护网站安全所需的两个证书，也就是用户证书和中间证书。

用户证书，这里即SSL证书，由 中间证书对应的颁发机构（Encryption Everywhere DV TLS CA - G1）进行颁发，并用中间证书对应的私钥 对颁发的证书进行签名，并把签名放到所颁发的证书结构中。中间证书是由其上级颁发机构 这里指的DigiCert（全球最受信任的证书颁发机构）对其颁发的证书。并用Root CA对应的私钥对中间证书做签名，并放到中间证书结构中。Root CA证书 就是根证书 它是由 DigiCert自己给自己颁发，其根证书结构中的签名是由其自己对应的私钥做的签名，也叫 自签名证书。这就构成一个证书链，根据用户证书找到中间证书，根据中间证书找到根证书。

怎么判断用户证书签名有效：这里又涉及到证书验签的问题。用户证书内的签名，需要通过中间证书的公钥进行验签，中间证书内的签名，需要通过根证书的公钥进行验签。

所以用户拥有SSL证书时，必须也得通过拥有中间证书和根证书，才能验证SSL证书的可信任性。 

一般情况下可信的中间证书和根证书，都已经被安装到浏览器中了。

下面以一个真实的ssl证书进行说明：

双击打开，可以看到证书的颁发者（中间证书），证书有效期。

只有根证书和中间证书 是浏览器 认可可信任的证书，用户的SSL证书才没问题。

查看已安装的中间证书:

cmd命令下：输入certmgr.msc 

 查看已安装的根证书：