信任的传递——为什么我们需要第三方授权？

在证书验证、基于JWT(Json Web Token)的身份认证、IDP(身份提供商)、SP(服务提供商)等技术中，都有一个可信的第三方，可明明是用户对资源或者服务的访问，为啥还要个第三方？

这篇文章整理了一些相关技术的案例，并尝试分析其这样设计的原因。

经典案例

01 证书 —— 整个互联网中的信任传递

目的： 解决两个节点之间的安全通信，常用的是用户访问某个具体的网站

背景：基于现有的网络协议（如http），在其基础上对信道进行加密，保证安全。这就需要两个节点之间至少持有一个对方的公钥( 用这个秘钥加密的数据只有对方的私钥能解开)，然后才能建立加密的信道。

面临问题：作为用户，我不知道我以后会访问哪些网站，直接去网站获取它的秘钥需要通过网络传输，肯定不安全。操作系统也没办法提前就把信任的网站信息在出厂时就保存，因为有的网站可能还没开发出来。个人与商业网站都没办法相互取得信任。

具体说明：

1. 证书颁发机构：有第三方公信的权威机构担任，作为一个信任传递的中介，终端电脑只需要建立起与证书颁发机构的信任就可以了。
2. 根证书：证书颁发机构的证明，包含机构的信息，公钥，加密签名算法等。根证