ssl证书中，什么是根证书，中间证书，证书连又是什么

少陽君

已于 2024-09-23 17:53:48 修改

阅读量931

点赞数 20

分类专栏：安全 linux 文章标签： ssl 网络网络协议安全

于 2024-09-23 17:50:03 首次发布

本文链接：https://blog.csdn.net/u010674101/article/details/142464422

版权

74 篇文章 0 订阅

订阅专栏

8 篇文章 0 订阅

订阅专栏

在 SSL/TLS 证书体系中，根证书（Root Certificate）、中间证书（Intermediate Certificate）、证书链（Certificate Chain）都是至关重要的概念，它们构成了整个证书验证的体系结构，确保了 SSL 连接的安全性。下面是对这些概念的详细解释：

根证书是由受信任的证书颁发机构（CA, Certificate Authority）签发的自签名证书。它是整个证书链的起点，具有最高级别的信任。
根证书由全球受信任的CA（如 DigiCert、GlobalSign、Let’s Encrypt）发布，并已经内置于常见的操作系统和浏览器中。这意味着，当用户访问使用 SSL 的网站时，浏览器会自动信任这些根证书。
根证书自签名，这意味着它是由CA自己签署的，而不是由其他任何CA颁发。

特点：

中间证书是由根证书或其他中间证书颁发的，用来为最终的服务器证书提供一个中间的信任层。中间证书的主要目的是在根证书和服务器证书之间建立一个链式结构，使得根证书不直接参与每个网站的签发。
CA使用中间证书对服务器证书进行签名，而不是使用根证书直接签名。这是为了安全性考虑，防止根证书泄露或受到攻击，因为一旦根证书失效，整个 CA 的信任链都会崩溃。

特点：

证书链是由多个证书按层级结构组成的一条信任链，从服务器证书到根证书。它包含服务器证书、中间证书，以及根证书的顺序关系。客户端通过验证整个证书链，逐层确认每一个证书的真实性，最终信任根证书。
证书链中的每个证书都由上一级的证书进行签名，最终根证书是链条的顶端。

证书链验证流程：

假设你访问一个网站时，浏览器接收到以下证书链：

证书链的顺序：
服务器证书 ← 中间证书 ← 根证书。

在这里插入图片描述

例子：

不可以。仅导入自签名的中间证书无法使浏览器信任这个证书链，也无法消除“不安全”的提示。原因是：

浏览器信任链的基础在于根证书。只有浏览器信任的根证书才能验证并信任后续的中间证书和服务器证书。如果只导入了中间证书，浏览器无法验证它的签发者，因此无法信任它。

中间证书的可信赖性依赖于它的上级证书（通常是根证书）。如果浏览器没有信任根证书，那么中间证书也不会被信任。即使你导入了中间证书，浏览器仍然会尝试向上查找根证书。如果根证书不在浏览器的信任列表中，浏览器就会认为证书链是不完整的，从而发出“不安全”的警告。

自签名证书是由自己签发的根证书，通常不被浏览器默认信任。对于自签名证书链，整个信任链是由自签名的根证书开始的。因此，如果你使用自签名的证书，而不导入根证书，浏览器无法通过根证书来验证中间证书，也无法信任服务器的证书。

导入自签名的根证书：要让浏览器信任自签名的证书链，必须将自签名的根证书导入到浏览器或操作系统的信任证书列表中。只有这样，浏览器才能信任证书链中的中间证书和服务器证书，从而避免“不安全”的警告。
使用受信任的CA颁发证书：另一种选择是使用全球受信任的证书颁发机构（CA）签发的证书，这些机构的根证书已经被浏览器信任，避免了手动导入证书的麻烦。

因此，导入自签名的根证书是必要的，否则浏览器无法完全信任证书链，即使你导入了中间证书。

在这里插入图片描述