在公钥基础设施（PKI）体系中，信任链的建立依赖于证书层级结构，其中根证书（Root Certificate）和中级根证书（Intermediate Certificate）扮演着至关重要的角色，理解这两者的区别、职责以及它们如何协同工作,是保障网络安全通信的基础。
根证书：信任的锚点
根证书是信任链的最顶端，也被称为信任锚（Trust Anchor），它由证书颁发机构（CA）自行签发，即“自签名证书”，由于它位于层级结构的最高处，没有上级机构为其背书，因此它的信任度完全依赖于预装在操作系统、浏览器或设备中的“受信任根证书存储区”。
根证书通常具有以下特征：
- 长期有效性：根证书的有效期通常很长，一般为10到25年,甚至更长。
- 高安全性：根证书的私钥被严格保护，通常存储在离线硬件安全模块（HSM）中，极少甚至从不用于直接签发终端实体证书,以最大限度地降低泄露风险。
- 全局信任：一旦根证书被主流操作系统或浏览器厂商纳入信任列表,由该根证书直接或间接签发的所有下级证书都会自动被视为可信。
中级根证书：信任的延伸与隔离
中级根证书（也称为中间证书或子CA证书）位于根证书和最终实体证书（如网站SSL证书）之间，它的主要作用是作为根证书与终端用户之间的缓冲层，中级证书由根证书签发,其公钥和身份信息经过根证书的签名验证。
引入中级证书的核心目的包括：
- 安全隔离：如果中级证书的私钥泄露，只需吊销该中级证书及其签发的所有下级证书，而无需吊销根证书,这避免了整个信任体系的崩溃。
- 灵活性：不同的中级证书可以针对不同的业务场景、地理区域或产品类型进行签发,便于管理和轮换。
- 层级管理：通过多级中间证书结构,CA可以更精细地控制权限和责任范围。
根证书与中级证书的关键区别
为了更清晰地对比两者的差异,以下表格归纳了主要区别：
| 特性 | 根证书 (Root Certificate) | 中级根证书 (Intermediate Certificate) |
|---|---|---|
| 签发者 | 自签名（Self-signed） | 由根证书或更高级别的中级证书签发 |
| 信任来源 | 预装在客户端设备（OS/浏览器）中 | 通过信任链追溯至根证书 |
| 有效期 | 通常较长（10-25年） | 通常较短（1-5年），便于轮换 |
|
私钥存储 | 离线、高安全级别硬件保护 | 在线或半离线，安全性略低于根证书 |
| 直接签发对象 | 通常不直接签发终端实体证书 | 直接签发终端实体证书（如SSL证书） |
| 吊销影响 | 吊销会导致整个信任链失效 | 吊销仅影响该中级证书签发的下级证书 |
信任链的工作机制
当用户访问一个使用SSL/TLS加密的网站时，浏览器会验证服务器提供的证书链,这个过程通常如下：
- 服务器发送其终端实体证书（End-Entity Certificate）。
- 服务器同时发送一个或多个中级证书,构建从终端证书到根证书的完整路径。
- 浏览器检查本地受信任根证书存储,寻找与证书链顶端匹配的根证书。
- 浏览器使用根证书的公钥验证中级证书的签名。
- 浏览器使用中级证书的公钥验证终端实体证书的签名。
- 如果所有签名验证通过且证书未过期、未被吊销,浏览器即建立安全连接。
值得注意的是，中级证书本身不需要预装在客户端设备中，只需在传输过程中随终端证书一起发送即可，这种设计既保证了安全性,又提高了系统的灵活性。
相关问题与解答
为什么CA机构不直接使用根证书签发网站SSL证书，而必须通过中级证书？
解答：
直接使用根证书签发终端证书存在巨大的安全风险和管理不便，根证书的私钥需要极高的安全保护，通常离线存储，无法用于日常的证书签发操作，如果根证书私钥泄露，整个信任体系将彻底崩溃，所有由该根证书信任的证书都将不可信，导致大规模的安全危机，通过引入中级证书，CA可以将日常签发工作交给中级证书完成，即使中级证书私钥泄露，只需吊销该中级证书，影响范围仅限于该中级证书签发的少数证书，而根证书依然安全,整个PKI体系依然稳固。
如果中级证书过期或被吊销，会对已建立的HTTPS连接产生什么影响？
解答：
如果中级证书过期或被吊销，新建立的HTTPS连接将会失败，浏览器在验证证书链时，会检查链中所有证书（包括中级证书）的有效性，如果中级证书已过期或状态为“已吊销”，浏览器将拒绝信任该证书链，从而显示安全警告（如“NET::ERR_CERT_AUTHORITY_INVALID”或“CERTIFICATE_HAS_EXPIRED”），对于已经建立的连接，如果使用的是会话恢复机制，可能暂时不受影响，但一旦重新握手，验证将再次失败，CA机构必须确保中级证书在有效期内，并及时更新即将过期的中级证书,以确保持续的服务可用性。
原创文章，发布者：酷盾叔，转转请注明出处：https://www.kd.cn/ask/470286.html
