了解 HTTPS(三) —— 证书

叁歲伎倆 2022-05-15 09:45 199阅读 0赞

在前面的文章我们知道，在通信过程中仍有`无法证明公开密钥是货真价实真正的公开密钥`的问题。为了解决这一问题，就要使用由数字证书认证机构(CA)颁发的`公开密钥证书`。  
  **数字证书认证机构是客户端与服务器双方都可信赖的第三方机构。**

数字证书认证机构的业务流程大致是这样的：

1.  首先，服务器运营人员向 CA 提出公开密钥的申请，数字证书认证机构在判明提出申请者的身份之后，会对已申请的公开密钥做数字签名；
2.  然后分配这个已签名的公开密钥，并将该公开密钥放入公钥证书后绑定在一起。
3.  服务器将这份公钥证书发送给客户端，已进行公开密钥加密方式通信；
4.  接到证书的客户端可使用数字证书认证机构的公开密钥，对那张证书上的数字签名进行验证。

一旦验证通过，客户端便可明确两件事：一，认证服务器的公开密钥的是真实有效的数字证书认证机构。二，服务器的公开密钥是值得信赖的。

因为客户端也需要一份 CA 的公开密钥，然而在通信时很难做到安全转交。所以，**多数浏览器开发商发布版本时，会实现在内部植入常用认证机关的公开密钥。**

![这里写图片描述][70]

#### SSL 证书验证级别 ####

除了机构之间存在差异，SSL证书之间也存在差异，SSL证书根据验证级别，分为三类：

*  域名型 SSL 证书，简称 DVSSL；
 *  企业型 SSL 证书，简称 OVSSL；
 *  增强型 SSL 证书，简称 EVSSL；

<table> 
 <thead> 
  <tr> 
   <th>DVSSL</th> 
   <th>OVSSL</th> 
   <th>EVSSL</th> 
  </tr> 
 </thead> 
 <tbody> 
  <tr> 
   <td>英文名称</td> 
   <td>Domain Validation SSL Certificate</td> 
   <td>Organization Validation SSL Certificate</td> 
  </tr> 
  <tr> 
   <td>审核内容</td> 
   <td>域名管理权限</td> 
   <td>域名管理权限；企业名称、地址、电话等信息的真实性</td> 
  </tr> 
  <tr> 
   <td>颁发周期</td> 
   <td>几分钟-几小时</td> 
   <td>3-5个工作日</td> 
  </tr> 
  <tr> 
   <td>浏览器地址栏</td> 
   <td>https + 小锁标志</td> 
   <td>https + 小锁标志</td> 
  </tr> 
  <tr> 
   <td>一般用途</td> 
   <td>个人站点； iOS应用分发下载；登录等单纯https加密需求的链接</td> 
   <td>企业网站</td> 
  </tr> 
 </tbody> 
</table>

#### SSL 证书域名类型 ####

除了验证级别维度的不同，统一级别的证书，它又根据保护域名的数量需求，SSL 证书又分为：

*  单域名版：只保护一个域名，例如 `www.abc.com` 或者 `login.abc.com` 之类的单个域名
 *  多域名版：一张证书可以保护多个域名，例如同时保护 `www.abc.com` , `www.bcd.com`, `pay.efg.com` 等
 *  通配符版：一张证书保护同一个主域名下同一级的所有子域名，不限个数，形如 `*.abc.com` 。注意，通配符版只有 DVSSL 和 OVSSL 具有， EVSSL 不具有通配符版本。

> 参考文章：  
> [一篇文章让你搞懂 SSL 证书][SSL]

[70]: /images/20220515/ad6c482ee2b349699033ff2066969a3e.png
[SSL]: http://www.cnblogs.com/mafly/p/ssl.html