发出虚假证书的有效 SSL 证书

Question

我相信我主要了解与 SSL 证书相关的验证链。但是，有一种情况我不确定。 考虑这种情况： 受信任的 CA 为服务器 A 签署证书。 此有效证书的所有者使用服务器 A 的私钥/公钥为恶意实体（服务器 B）签署欺诈证书。

如果一个客户端连接到另一个实体，恶意服务器 B 在中间，它不能发回它的证书并被客户端验证为真实吗？ 即服务器 B 发送其公共证书和服务器 A 的证书，客户端机器验证： 受信任的 CA 颁发服务器 As 证书（因此其有效）和服务器 As 密钥用于颁发服务器 B（因为 A 是受信任的，所以 B 是受信任的）。

我想换一种说法，是否每个中间证书颁发机构都需要在受信任的证书存储中（似乎答案是肯定的）

Answer 1

普通 SSL 证书不能用于签署其他证书。您需要一个签名证书。受信任的 CA 只会为它也信任的实体签署签名证书，并且有一个完整的“另一个级别的检查”。