Java安全之证书与PKI

一、证书的作用

        证书作用之一就是存储公钥和用于公钥交换。公钥作为一个字段存储在数字证书中，因此证书的交换和传输就可以完成公钥的传输和交换。

        数字证书有各种格式，不同的格式存储的内容以及存储的格式也是不同的，常用的就是X.509格式的数字证书，这是国际标准。

所谓的证书格式就是存储着不同内容格式的文件。

 

        证书的另外一个作用是作为信任的基石。证书中存储了所有者的一些认证信息，并且该证书需要通过受信任的CA机构进行签名，

然后该证书就可以代表所有者的合法身份了。此时数字证书中的任何内容都将无法修改，否则证书的签名将会变化，就变成了不再受信任的证书。

其中数字签名就是用来保护数字证书本身的安全性和可信任性的。

        对于证书的签名一般先使用所有者的私钥进行签名，这样之后就可以对其进行完整性和一致性的校验，之后为了能让其他人信任这个证书，

那么就需要CA机构对其进行签名以认证证书的所有者和证书的从属关系。

二、证书链

        所谓的证书链就是一个证书A由另一个受信任的证书B进行签名，那么这个证书A也就成为了受信任的证书。也就是子证书可以由所有受信任的父级证书进行签名，

而不一定非要使用CA签名。也就是说，一个证书只要是由本地的受信任的证书列表所签名的，那么这个证书就是受信任的，并且这个证书还可以签名其他的证书，

那么其他的证书也将称为受信任的证书。此时验证的时候会采用回溯的方式进行验证，先验证证书的签名者是否在受信任列表，如果不再那么就查找这个颁发者的

颁发者是否在信任列表，