X.509证书验证过程

Question

我一直在阅读x.509证书，我只是不完全了解整个过程如何工作。

所以这是我的理解： CA是一些公司生产证书。 某人想要使用某人（如银行网站）与CA联系并购买包含该公钥的证书以编码该网站的消息，该消息只能由网站私钥解码。

这就是我感到困惑的地方 - 用户（某些网络浏览器）如何检查它收到的证书是否真的真的来自正确的网站？它如何知道它仍然有效？ 做了什么样的检查以确保一切正常？

Answer 1

CA不仅签署了服务器（银行网站）的证书，而且还签署了自己的证书（由证书签署的CA）CA CA.根CA将其证书提供给浏览器供应商，该供应商将其包含在其可信根证书集中。

整个事情建立在一个“信任链”的想法：签署证书的意思是“如果你相信我（根或indermediate CA），比你可以相信他（中间CA或服务器）”。您的浏览器只需要信任根CA（它拥有证书）就能够确定它是否可以信任服务器（银行网站）。请参阅https://en.wikipedia.org/wiki/Chain_of_trust

证书可能会失效，例如由于安全漏洞（例如私钥被盗）。此类事件会向CA公开提供此信息。浏览器可以通过证书吊销列表（CRL）或在线证书状态协议（OCSP）访问此信息。浏览器应该配置为不接受无法验证为有效的证书。见https://en.wikipedia.org/wiki/Online_Certificate_Status_Protocol