Центр сертификации CA (центр сертификации) подписывает сертификат, чтобы предотвратить подделку содержимого сертификата посредниками при получении сертификата.

Процесс подписания сертификата

• Упаковка: ЦС упаковывает открытый ключ владельца, назначение, эмитента, время действия и другую информацию, а затем выполняет расчет хеш-функции на основе этой информации для получения значения хеш-функции.
• Подпись: затем центр сертификации шифрует значение хеш-функции своим собственным секретным ключом для создания подписи сертификата.
• Добавить: добавить Certificate Signature Добавлен в файл Сертификата для формирования номера Сертификата.

Проверка клиента

• Упаковка: клиент использует тот же алгоритм хэширования.,Информация о сертификате упаковки,вычисление хеша,Получить хеш-значение H1
• Расшифровка открытого ключа: используйте открытый ключ организации ЦС для цифровой подписи сертификата H2.
• Сравнение: почему H1 и H2 имеют одинаковое значение,тогда это заслуживает доверия Сертификат

ps. Браузеры и операционные системы обычно интегрируют информацию об открытом ключе центра сертификации.

Цепочка доверия сертификатов

Откройте сведения о сертификатах zhihu.com и baidu.com через браузер, и вы увидите их иерархию сертификатов:

# zhihu.com
DigiCert Global Root CA
    GeoTrust CN RSA CA G1
        *.zhihu.com

# baidu.com
GlobalSign
    GlobalSign RSA OV SSL CA 2018
        baidu.com

Вместо корневого сертификата, непосредственно подписывающего сертификат доменного имени, будет использоваться промежуточный сертификат для подписи сертификата доменного имени.

Цепочка доверия сертификатов Процесс проверки：

• Клиент получил доменное имя Сертификат и обнаружил, что эмитент Сертификата не является корневым Сертификатом. Затем клиент получает доменное имя от эмитента Сертификата. Ссылка на Сертификат, отправленная с сервера или полученная локально операционной системой/браузером.
• Промежуточный сертификат запроса клиента,Эмитентом оказался корневой Сертификат. Затем получите открытый ключ корневого Сертификата локально из операционной системы/браузера.,Проверьте средний сертификат,Если проверка пройдена, промежуточный Сертификат заслуживает доверия.
• После среднего Сертификат правдоподобен,Клиент получает открытый ключ промежуточного Сертификата, а затем проверяет, заслуживает ли доверие доменное имя Сертификат.

Почему структура сертификата третьего уровня более безопасна?

1. Снизьте риск подделки сертификатов.

Трехуровневая структура делит центры сертификации на корневые центры сертификации и промежуточные центры сертификации. Если злоумышленник хочет подделать сертификат, ему необходимо подделать подпись ЦС уровня 3, что значительно увеличивает сложность.

2. Лучшее управление ключами

Корневой центр сертификации отвечает за выдачу сертификатов субцентра сертификации и не выдает сертификаты сервера напрямую. Это позволяет защитить корневой ЦС с помощью более надежных ключей и ротировать ключи дочернего ЦС.

3. Отзыв сертификата стал более гибким.

Если сертификат промежуточного центра сертификации поврежден, вы можете отозвать промежуточный центр сертификации, не затрагивая другие центры сертификации в цепочке доверия, и избежать крупномасштабного отзыва сертификата.

4. Децентрализованная цепочка доверия

Различные промежуточные центры сертификации могут использовать перекрестную подпись, чтобы предотвратить повреждение одного центра сертификации и сбой всей цепочки.

5. Дифференцируйте сферу бизнеса

Различные промежуточные центры сертификации могут выдавать сертификаты для разных целей для изоляции бизнеса.

6. Лучшая масштабируемость

Новые службы сертификации можно расширить за счет добавления промежуточных центров сертификации без перенастройки доверенных корневых центров сертификации.

7. Изолируйте внутренние и внешние сетевые сертификаты.

Сертификаты интрасети могут использовать независимый промежуточный центр сертификации, отделенный от общедоступного центра сертификации, чтобы снизить риск повреждения сертификата.