algorithm - 如何验证 ssl 证书？

Question

安全验证 ssl 证书所需的一系列步骤是什么？我(非常有限)的理解是，当您访问 https 站点时，服务器会向客户端(浏览器)发送证书，浏览器会从该证书中获取证书的颁发者信息，然后使用它来联系颁发者，并以某种方式进行比较证书的有效性。

• 这到底是怎么做到的？
• 该过程如何使其免受中间人攻击？
• 是什么阻止了一些随意的人设置他们自己的验证服务以用于中间人攻击，所以一切“看起来”都是安全的？

Answer 1

这里有一个非常简单的解释:

1. 您的网络浏览器会下载网络服务器的证书，其中包含网络服务器的公钥。此证书使用受信任的证书颁发机构的私钥签名。

2. 您的网络浏览器安装了所有主要证书颁发机构的公钥。它使用此公钥来验证 Web 服务器的证书是否确实由受信任的证书颁发机构签署。

3. 证书包含网络服务器的域名和/或 IP 地址。您的 Web 浏览器向证书颁发机构确认证书中列出的地址是它具有开放连接的地址。

4. 您的网络浏览器会生成一个共享对称 key ，用于加密此连接上的 HTTP 流量；这比对所有内容使用公钥/私钥加密要有效得多。您的浏览器使用网络服务器的公钥加密对称 key ，然后将其发回，从而确保只有网络服务器可以解密它，因为只有网络服务器拥有自己的私钥。

请注意，证书颁发机构 (CA) 对于防止中间人攻击至关重要。但是，即使是未签名的证书也会阻止他人被动监听您的加密流量，因为他们无法访问您的共享对称 key 。