上一篇
根证书和服务器证书有什么区别？SSL证书怎么选择
在数字安全通信体系中，证书是建立信任的核心基石，根证书（Root Certificate）与服务器证书（Server Certificate）分别处于信任链的不同层级，共同构成了公钥基础设施（PKI）的信任基础，理解两者的定义、区别以及它们如何协同工作,对于保障网络安全至关重要。
根证书：信任的起点
根证书是公钥基础设施（PKI）中最顶层的证书，它由受信任的证书颁发机构（CA）自行签发，这意味着根证书的持有者既是证书的颁发者，也是证书的主体，由于它是信任链的源头,因此不需要也不应该由其他证书进行签名验证。
根证书通常预装在操作系统（如 Windows、macOS、Linux）和浏览器（如 Chrome、Firefox、Safari）中，当用户访问一个网站时，浏览器会检查该网站提供的证书是否可以通过预装的根证书进行验证，如果验证通过,浏览器即认为该网站是可信的。
根证书具有以下显著特征：
- 自签名：其签名密钥与公钥匹配，由 CA 自己签署。
- 高安全性：根证书的私钥通常存储在离线、物理隔离的安全硬件模块中，极少使用,以最大限度降低泄露风险。
- 长期有效：根证书的有效期通常很长，可达 10 至 25 年。
服务器证书：信任的传递
服务器证书（也称为 SSL/TLS 证书或中间证书链中的末端证书）是直接安装在 Web 服务器上的证书，用于在客户端（如浏览器）和服务器之间建立加密连接，它的主要作用是证明服务器的身份,并交换用于加密通信的公钥。
服务器证书并非直接由根证书签发，而是由根证书授权的中间证书颁发机构（Intermediate CA）签发，这种层级结构增加了安全性：即使中间 CA 的私钥泄露，攻破者也无法直接杜撰根证书，且根 CA 可以快速吊销受影响的中间证书,而无需重新分发所有根证书。
服务器证书的关键特性包括：
- 绑定域名：证书中明确包含域名信息（Subject Alternative Name）,防止证书被用于非授权域名。
- 短期有效：为了降低风险，现代服务器证书的有效期通常较短，一般为 90 天至 1 年。
- 需定期更新：由于有效期短,服务器需要定期续期并部署新证书。
根证书与服务器证书的核心区别
为了更清晰地理解两者的差异,以下表格归纳了主要对比维度：
| 对比维度 | 根证书 (Root Certificate) | 服务器证书 (Server Certificate) |
|---|---|---|
| 信任层级 | 信任链的顶端，信任的源头 | 信任链的底端，信任的末端 |
| 签发者 | 自签名（Self-signed） | 由中间 CA 或根 CA 签发 |
| 存储位置 | 预装在操作系统和浏览器中 | 安装在 Web 服务器软件上 |
| 有效期 | 很长（10-25 年） | 较短（1 年以内） |
| 主要功能 | 验证整个证书链的信任基础 | 建立加密连接，验证服务器身份 |
| 私钥保护 | 极高（离线存储，极少使用） | 较高（服务器本地存储，需防泄露） |
信任链的构建过程
当用户访问一个 HTTPS 网站时,浏览器会执行以下验证步骤：
- 服务器将服务器证书发送给浏览器。
- 浏览器检查服务器证书是否由受信任的中间 CA 签发。
- 浏览器获取中间证书，并验证其是否由受信任的根证书签发。
- 浏览器在本地信任库中查找对应的根证书。
- 如果根证书存在且验证通过，浏览器确认服务器身份可信,并建立加密连接。
这一过程确保了即使服务器证书被改动，只要根证书未被破坏,攻破者就无法杜撰合法的信任链。
相关问题与解答
问题 1：为什么服务器证书不直接由根证书签发，而是通过中间证书？
解答：
直接由根证书签发服务器证书存在巨大的安全风险，如果根 CA 需要为成千上万的服务器签发证书，其私钥的使用频率将大幅增加，从而提高了私钥泄露或被免费的概率，一旦根私钥泄露，整个信任体系将崩溃，所有预装该根证书的设备和浏览器都将面临风险，通过引入中间证书，根 CA 可以将日常签发工作委托给中间 CA，即使中间 CA 的私钥泄露，根 CA 只需吊销该中间证书即可，无需重新分发根证书，从而将风险隔离在局部范围内，提高了整个 PKI 系统的弹性和安全性。
问题 2：如果浏览器中找不到对应的根证书，会发生什么？
解答：
如果浏览器在本地信任库中找不到用于验证服务器证书链的根证书，浏览器将无法确认服务器的身份可信，浏览器会向用户显示一个安全警告页面（如 Chrome 的“您的连接不是私密连接”或 Safari 的“此连接不是私密连接”），用户可以选择继续访问（通常不推荐，因为存在中间人攻破风险），或者取消访问，这种情况通常发生在访问使用自签名证书的内部网站，或者服务器配置了不受信任的 CA 签发的证书时，对于普通用户，看到此类警告应谨慎处理,避免输入敏感信息。
