什么是 CA 证书，我们为什么需要它？答案

【问题标题】：What is CA certificate, and why do we need it?什么是 CA 证书，我们为什么需要它？
【发布时间】：2017-02-24 22:54:09
【问题描述】：

我刚刚阅读了this article 什么是 HTTPS 服务，并且了解了 https 的基础知识。

当请求https内容时，服务器会向浏览器发送一个公钥，这样每次浏览器接收到的数据都会用这个公钥解密。

我的问题是什么是 CA 证书？为什么我们需要它？

【问题讨论】：

你没有。查看Let's Encrypt.
@erickson 为什么有权威？我的理解是，https是点对点的，严格在两方之间。
Stack Overflow 是一个编程和开发问题的网站。这个问题似乎离题了，因为它与编程或开发无关。请参阅帮助中心的What topics can I ask about here。也许Super User 或Information Security Stack Exchange 会是一个更好的提问地方。还有Where do I post questions about Dev Ops?.
@erickson Lets Encrypt 仍然有一个 CA - 关于 LE 的“区别”在于 a) 它是免费的，b) 它是自动更新的（或者如果你不能自动更新它可能不值得打扰） - 所以双赢！
@NicolasS.Xu SSL 证书带有一个公钥，然后您可以在 HTTPS 连接中使用它。但是，不建议信任未经认可 CA 签名的 SSL 证书。这是因为信誉良好的网站最有可能要求公认的 CA 签署他们的证书。一般的饼干不会那样做。

标签： ssl x509 pki

【解决方案1】：

CA 证书是由证书颁发机构 (CA) 颁发的数字证书，因此 SSL 客户端（例如 Web 浏览器）可以使用它来验证该 CA 签署的 SSL 证书。

例如，stackoverflow.com 使用 Let's Encrypt 对其服务器进行签名，并且 stackoverflow.com 发送的 SSL 证书提到它们是由 Let's Encrypt 签名的。您的浏览器包含来自 Let's Encrypt 的 CA 证书，因此浏览器可以使用该 CA 证书来验证 stackoverflow 的 SSL 证书，并确保您确实在与真实服务器对话，而不是中间人.

https://security.stackexchange.com/a/20833/233126 提供了有关 TLS/SSL 证书如何工作的更详细说明。

【讨论】：

【解决方案2】：

大多数证书不花费 800 美元，而 Let's Encrypt 等 CA 是免费的（但会增加定期和经常续订的不便）

问题是为什么客户端会相信服务器是正确的服务器？答案是权威机构，即 CA，颁发并担保服务器证书。 CA 以某种方式验证证书请求者。然后 CA 提供一个公共接口来验证证书的真实性。 CA 必须让客户端知道这是由操作系统实现的和/或在浏览器也可能具有嵌入式 CA 的情况下。

【讨论】：

【解决方案3】：

CA 证书保证你就是你自己。它是系统使用的第三方服务

Certificate - 是一个包含所有者信息和公钥的文件。此文件由 CA 签名，digital signature

Digital signature - 以数据（消息、文档、文件...）和所有者为界

//Create a signature by owner
1. generate public and private keys
2. calculate a check sum of data
3. encode calculated check sum by private key

//Check a signature
1. calculate a check sum of data
2. decode the calculated check sum by public key
3. compare check sums from step 1 and 2

[check sum]

【讨论】：

此图中关于非对称加密的部分无关紧要，如果它们引用 TLS，则它们是错误的。
@MarquisofLorne，能否请您提供一些资源让我可以借鉴它？