证书签发相关

1. CA机构签发证书（Issuer）：

   • 撰写证书元数据，包含：证书序列化、证书所使用的签名算法、证书发行机构（Issuer）、证书有效期、证书持有者信息、证书持有者的公钥、证书发行者对证书的签名等
     • 其中，证书持有者即证书生效的域名
   • 使用Hash算法（如SHA-256）对证书元数据计算生成数字摘要
   • 使用私钥对该数字摘要进行加密，生成一个加密的数字摘要，即数字签名
   • 把数字签名附加到证书上，变成一个签过名的数字证书
   • 发给浏览器这个签过名的数字证书

   综上，数字证书包含这个证书的有效期、域名的信息等信息，数字签名由于有了CA机构的私钥的参与，因此可判断它的权威性

2. 浏览器验证证书：

   • 使用相同的Hash算法，在本地计算证书元数据的数字摘要
   • 使用CA机构（Issuer）的公钥对数字签名解密，得到解密后的数字摘要
   • 对比上面两个数字摘要，若相同，说明数字签名是可信的，所以数字证书也是可信的

3. 证书链：end-user - - - intermediates - - - root

   • end-user：所浏览的域名购买的证书
   • intermediates：CA机构（即证书签发人Issuer），这类intermediates证书可以有很多级
   • root：最高级别的签发人Issuer，负责认证intermediates身份的合法性
     

4. 一个网站想要获取证书，需要去找CA签名

5. 几个常识：

   • Root certificate通常已经默认打包在浏览器软件上了
   • 为什么不直接用root证书：这样存在风险性。如果发生错误颁发或者需要撤销根证书，则使用根证书签名的每个证书都会将不受信。
     • 使用证书链的好处：使用中间证书给另一个中间证书，然后新的中间证书同样可以签署SSL证书。如果证书链不完整就会导致下一级证书不受信任。因此表面上好像就是CA机构签下名就好了，但实际上真正的证书链要复杂得多
   • 如何获取中间证书：
     • 通常CA在颁发证书时都会一同将证书链发到申请邮箱
     • 若丢失证书链，可使用证书链下载工具