在证书签名请求 (CSR) 中使用公钥

Question

在我们的服务器上创建 CSR 期间将生成公钥和私钥对。我们将通过持有私钥将 CSR 和公钥发送给 CA。 CA 将在使用 CA 根证书的私钥签名之前验证我们的公钥。我们有自己的 CA 团队来验证 CSR 请求。我的查询如下：

1. CSR 本身是否包含公钥，还是我们需要单独向 CA 提供公钥？
2. 在将 CSR 发送到 CA 之前，是否会由我们的公钥对其进行签名（或）CSR 是否持有除此之外的公钥？
3. CA 是否会仅通过 CSR（或）在 CSR + 公钥组合上进行签名？
4. 我们是否应该在客户端和服务器端的信任库中安装 CA 的根证书和中间证书？因为我们使用的是自己的 CA 而不是全局 CA。
5. 当我们向客户端提供服务器证书时，该证书是否包含服务器的公钥？
6. 我们是否应该将服务器的公钥安装在客户端的信任库中以进行加密？

提前感谢您的帮助。

Answer 1

CSR 本身是否包含公钥，还是我们需要单独向 CA 提供公钥？

公钥在 CSR 中

在将 CSR 发送给 CA 之前，是否会由我们的公钥签名（或）CSR 是否持有除此之外的公钥？

CSR 由您的密钥签名。公钥是不够的，但签名需要私钥。

CA 是否会仅通过 CSR（或）在 CSR + 公钥的组合上进行签名？

CA 将从 CSR 中提取包括公钥在内的信息并对其进行签名。它不会签署 CSR 本身。

我们是否应该在客户端和服务器端的信任库中安装 CA 的根证书和中间证书？因为我们使用的是我们自己的 CA 而不是全局 CA。

只有根需要作为信任锚存储在客户端。中间证书应由服务器与 SSL 握手中的服务器证书一起发送。

当我们向客户端提供服务器证书时，该证书是否包含服务器的公钥？

是的，证书是公钥和附加信息，如主题（主机名）。

我们是否应该将服务器的公钥安装在客户端的信任库中以进行加密？

没有。客户端将在 SSL 握手期间获得证书。如果您使用certificate pinning，您只想在握手之前了解服务器证书或公钥。