• 基础知识 数字证书是用来认证公钥持有者身份合法性的电子文档，以防止第三方冒充行为。数字证书由 CA（Certifacate Authority） 负责签发，关键内容包括 颁发s者、证书有效期、使用者组织、使用者公钥 等信息。数字证书涉及到一个名为 PKI（Public Key Infrastructure） 的规范体系，包含了数字证书格式定义、密钥生命周期管理、数字签名及验证等多项技术说明，不在这篇笔记中详细展开。

我们看看 CA 是如何签发一张证书，使用者又是如何验证这样证书的。这又涉及到了数字签名技术，数字签名技术又是基于公钥密码技术。

现实世界中，签名是针对承诺的一种表现形式，手手段可以通过手写签字或盖扣印章；而在数字世界中，签名仍然是为了表示承诺，只是手段变成了二进制。

 CA 数字签名包括两个过程：签发证书（Signing） 和 验证证书（Verification）


  • 信任链介绍 前面的“证书之什么是数字签名？”简单科普了一下为什么要使用证书。其实这些以及后面要科普的都是整个公钥基础设施PKI（Public key infrastructure）体系中一部分。下面介绍什么是数字证书的信任链

证书链是一个有序的证书列表，包含SSL证书和证书颁发机构（CA）证书，使接收方能够验证发送方和所有CA是否值得信任。链或路径以SSL证书开头，链中的每个证书都由链中下一个证书标识的实体签名。

  • 链的结构 链终止于根CA证书。必须验证链中所有证书的签名，直至根CA证书。根CA证书始终由CA本身签名。


  • 信任链模型

常见有四种类型用于使用PKI实现信任模型。