ssl - 为什么浏览器有 3 级 SSL 证书？

Question

当我打开网络内部应用程序(Intranet 企业应用程序)的 SSL 详细信息时 - 我看到 3 级证书？每个级别的含义是什么？

Answer 1

每个“级别”没有具体的定义。

HTTPS 世界使用 PKIX 模型工作:每个实体(这里特别是网站及其主机名)都通过一些 X.509 证书进行身份验证。

要实现信任，此服务器证书需要由另一个证书签名，称为您信任的权威证书。

浏览器附带了数百个默认的授权证书。该系统是在您完全信任这些证书背后的实体的假设下构建的(是的，在任何时候都没有看到所有这些列表或明确表示同意；您可以从浏览器甚至操作系统信任库中删除所有这些实体，但随后您将无法再通过 HTTPS 连接到任何地方，您将需要一个一个地重新添加它们)，这意味着您接受这些权威证书签署的任何证书有效(除了其他技术检查，如日期等)。

但由于多种技术和非技术原因，当局通常不直接签署最终证书，而是使用中间证书(如果需要，在您的案例中为“中间”级别)。

它不会改变上述模型的任何内容，因为信任从根流出，当您连接到服务器时，它会使用自己的证书以及返回任何受信任根所需的任何其他中介进行响应。

请注意，深度可能会有所不同。一些权威机构可能会直接颁发最终证书(因此您将在输出中有 2 个“级别”)，一些可能会使用一个中介(常见情况)，一些可能会使用级联中介(中介通过其证书中的某些技术点可以受到限制仅签署一些特定证书，例如特定名称等)，这完全取决于颁发您正在查看的给定最终证书的证书颁发机构。

当你处理“自签名”证书时，你不再有级别，因为证书是自己签名的，这意味着它是它自己的证书颁发机构，所以它在证书列表中是单独的。