天威誠信剖析SSL證書的作用及工作原理


　　HTTPS 相比于普通的加密傳輸，最根本的區(qū)別就是用于加密傳輸內(nèi)容的秘鑰是隨機(jī)的。但 HTTPS 是怎么做到的呢？ 總不能把秘鑰直接發(fā)送給對方吧，因?yàn)橹灰�發(fā)送，就可能被中間路由器截獲。秘鑰如果被截獲，整個(gè)加密算法也就沒有意義了。


　　HTTPS 使用了更聰明的做法，引入了一個(gè)叫做數(shù)字證書的機(jī)制。簡單來說，每個(gè)支持 HTTPS 的服務(wù)端，都會(huì)申請一個(gè) SSL 證書。這個(gè)證書一般是從專業(yè)的證書頒發(fā)機(jī)構(gòu)申請。

　　數(shù)字證書中心 https://www.itrus.com.cn/認(rèn)為我們平時(shí)訪問 HTTPS 網(wǎng)站的時(shí)候，瀏覽器地址欄一般會(huì)出現(xiàn)一個(gè)小鎖頭，點(diǎn)擊這個(gè)小鎖頭就可以查看證書信息， 我們來看google 的證書：

　　它的證書頒發(fā)機(jī)構(gòu)是GeoTrust。 為什么一定要從這些頒發(fā)機(jī)構(gòu)申請證書呢？ 原因是 HTTPS 的證書鏈校驗(yàn)機(jī)制。比如我們請求google 的網(wǎng)站，它會(huì)先把證書信息發(fā)給我們的客戶端。 然后我們客戶端會(huì)做一個(gè)叫做證書鏈校驗(yàn)的操作。

　　數(shù)字證書管理中心 https://www.itrus.com.cn/ 據(jù)悉，所謂證書鏈校驗(yàn)，其實(shí)就是這樣，每個(gè)證書都包含一個(gè)數(shù)字簽名，用這個(gè)數(shù)字簽名經(jīng)過一系列算法，就可以匹配到上一級證書的簽名，按照這個(gè)算法一直往上延伸，就可以匹配到最頂層證書的簽名。就像上面google 那個(gè)證書的截圖一樣，證書是一級一級的樹形結(jié)構(gòu)。

　　匹配到最頂層證書有什么用呢？ 是我們的客戶端會(huì)預(yù)置這些頂層證書，比如打開你的mac 電腦的鑰匙串程序，你會(huì)看到這樣的內(nèi)容：

　　我們平時(shí)使用的設(shè)備都會(huì)預(yù)置這些證書頒發(fā)機(jī)構(gòu)的根證書。還回到前面討論的證書校驗(yàn)的討論，當(dāng)逐級網(wǎng)上找到根證書后，就會(huì)和我們預(yù)置的這些證書進(jìn)行匹配，如果能找到相同的，就代表網(wǎng)站發(fā)給我們的證書是可信的。否則這個(gè)網(wǎng)站就不可信。

　　這就解釋了為什么我們需要從證書頒發(fā)機(jī)構(gòu)申請證書了，因?yàn)橹挥凶C書頒發(fā)機(jī)構(gòu)才可以生成它們根證書下面的子證書，生成子證書需要私鑰，只有證書頒發(fā)機(jī)構(gòu)才有自己的私鑰。


資訊來源：1