ssl-certificate - 为什么我们信任 SSL 证书？

Question

我的一个 friend 问我，如果理论上每个人都可以颁发 SSL 证书，为什么我们要花这么多钱购买 SSL 证书。为什么确实如此？而我们如何判断浏览器中的小锁是否真的值得信赖呢？

Answer 1

首先，SSL 所基于的强公钥/私钥密码学的一些背景知识:

key 有两个部分，私有(private)部分和公共(public)部分。公钥可用于加密需要私钥解密的 Material 。这允许使用开放的通信 channel 进行安全通信。

公钥/私钥加密的一个重要方面是私钥可用于对可以使用公钥验证的消息进行数字签名。这使消息的接收者能够具体验证他们收到的消息是由发送者( key 的持有者)发送的。

SSL 证书的关键是加密 key 本身可以进行数字签名。

“证书”由私钥/公钥对以及数字签名数据组成。当有人购买 SSL 证书时，他们会生成私钥/公钥并将公钥提交给证书颁发机构 (CA) 以进行签名。 CA 对 SSL 证书的购买者进行适当级别的尽职调查，并使用他们的私钥签署证书。 SSL 证书将绑定(bind)到特定网站或网站集，本质上是 CA，表明他们信任证书私钥的所有者是这些网站的正确所有者。

受信任 CA 的根证书(公钥和其他元数据)默认包含在主要的浏览器和操作系统中(在 Windows 中，在运行提示中键入“certmgr.msc”以查看证书管理器)。当您使用 SSL 连接到 Web 服务器时，服务器将向您发送其 SSL 证书，包括公钥和其他元数据，所有这些都由 CA 签名。您的浏览器能够通过签名和预加载的根证书来验证证书的有效性。这会在 CA 和您要连接的 Web 服务器之间创建信任链。