数字证书扫盲

深碍√TFBOYSˉ_ 2022-05-22 12:17 472阅读 0赞

近段时间做的项目都涉及到与各种支付渠道对接。由于涉及到接口调用安全，资金安全等，通常都会使用各种格式的数字证书来保证通讯安全，数据不被窃取，以及保证数据的来源合法。但是数字证书中却有很多概念，到底各个概念都是什么含义呢？下来带大家一起来扫盲。

## X.509证书 ##

X.509是公钥证书的标准格式，定义了证书中应该包含哪些内容。X.509证书在很多互联网协议里面都有应用，如TLS/SSL。可用在加密通讯、电子签名等场景。证书需要包含公钥、签名信息、身份信息，还可以附带证书合法性验证算法、证书吊销列表等附加信息。

## X.509证书的各种后缀名 ##

X.509证书会有很多不同的后缀名，但有些并不是真正意义上的证书，可能只是保存了私钥的文件而已。下面列出常见的后缀名及其含义：

1.  **pem**，隐私增强型电子邮件（Privacy Enhanced Mail）。是der编码的证书，在用Base64进行编码而存放的。通常以—–BEGIN CERTIFICATE—–开头，以—–END CERTIFICATE—–结束。如DigiCert\_Global\_Root\_CA.pem证书，打开后是这样的：

1.  **der**，二进制格式的证书，直接用文本打开的话全是二进制的东西，没有可读性。但是可以通过windows证书打开。如DigiCert\_Global\_Root\_CA.der：  
    ![这里写图片描述][70]  
    ![这里写图片描述][70 1]  
    *上面的pem和der两种扩展名其实也是编码格式，像下面将要讲的几种扩展名的证书文件，尽管证书内容会有不同，但他们会采用pem和der这两种编码方式。*
2.  **cer**，cer是certificate的三个字母，可以有pem和der两种编码格式。可以从der中导出。
3.  **key**，不是X.509证书，通常用于存放公钥或者私钥可以有pem和der两种编码格式。
4.  **csr**，证书签名请求。这个也不是证书，是向CA请求获取签名的证书。首先会生成一对钥匙对（即公钥和私钥），然后用私钥对csr进行签名，并妥善保管好私钥。这是csr包含了请求发起者的身份信息、可以用于验证签名的公钥等。
5.  **pfx和p12**，是第12号公钥加密技术标准（PKCS\#12）。包含证书和私钥，不过私钥是有密码保护的，只有提供正确的密码后，才能从p12文件中提取出私钥。
6.  **JKS**，Java KeyStore。java密钥管理库，里面可以放各种密钥文件，与pfx/p12十分类似，用来存放证书和私钥。

**常见的证书就列举到这里，相信大家已经有个基本的概念。下面将讲解一下X.509证书结构和证书链，有兴趣的同学可以继续往下看。**

## X.509的结构 ##

X.509的结构会包括：证书、版本号、序列号、签名算法、颁发者、证书有效期、此日期前无效、此日期后无效、主题、主题公钥信息、公钥算法、主题公钥、颁发者唯一身份信息（可选项）、主题唯一身份信息（可选项）、扩展信息（可选项）、证书签名算法、数字签名。  
*上面这样列可能不太好理解，下面送上直观脑图一份。注意：黄色高亮部分为可选项。*  
![这里写图片描述][70 2]

## 证书链 ##

了解证书链之前，我们了解一下什么是CA。

*  CA就是证书颁发机构（Certificate  
    Authority），是负责发放和管理数字证书的权威机构，并作为电子商务交易中受信任的第三方，承担公钥体系中公钥的合法性检验的责任。CA又分为root CA 和 intermediates CA（中间CA）。root CA 和 intermediates CA之间是有链式关系的，root CA之下可以有多个intermediates CA，intermediates CA自己下面也可以有多个intermediates CA。  
    ![这里写图片描述][70 3]  
    我们拿唯品会的证书来看一下，最顶层的是VeriSign（VeriSign 是全球最大的数字证书颁发机构）是Root CA，第二层的是Symantec（赛门铁克），最后才是vip的。  
    ![这里写图片描述][70 4]  
    既然有了链式结构，那么在验证证书的是否真实合法的时候，我们就可以通过证书链，一层层向上回溯，验证证书了。  
    ![这里写图片描述][70 5]

--------------------

数字证书的扫盲就讲到这里。其实除了CA认证体系外，还有PGP的Web of Trust体系。关于PGP解密的相关内容，将在日后为大家带来。

--------------------

> 作者：皇子

[70]: /images/20220522/9681019aefac46ad80aee9a720d0b38e.png
[70 1]: /images/20220522/2f5c047bd6504fc4958d784634062fb9.png
[70 2]: /images/20220522/afdc4422f0964914b744d0ea363a7ee6.png
[70 3]: /images/20220522/1c0092c86e5942a59bc3a9a46e98f888.png
[70 4]: /images/20220522/e585dc61b3e74681a6fc0dab16b35a9c.png
[70 5]: /images/20220522/92f381ec317a4c6581a134da4d98b059.png