根证书与中间证书对比

根证书与中间证书有哪些差异？

公钥基础设施（PKI）是用于验证在线实体身份真实性、保障数字通信安全的基础性框架。数字证书是 PKI 的核心：不同类型的证书共同组成层级结构，构建起信任链，保障在线信息交换的安全性与完整性。 

我们将探讨根证书与中间证书的角色、二者的重要性、差异，以及它们如何协同支撑安全的在线通信。

理解数字证书

数字证书通过身份认证与加密机制保障数字通信的安全与完整。这类加密凭证可验证用户、设备、服务器、网站或组织的身份，并将该身份与公钥绑定。每一张证书都包含密钥相关信息、所有者身份信息、签发方证书颁发机构（CA）以及其他相关详情。

证书是 PKI 体系的组成部分，PKI 是用于创建和管理公钥的工具、政策与流程集合，可支撑身份验证、加密、数字签名等功能。PKI 通过数字证书构建信任链:

• 用户会生成一对密钥，分别是用于加密的公钥，以及用于解密的私钥。

• 用户向 CA 提交证书签名请求（CSR），请求中包含用户的公钥与身份信息。 

• CA 对用户身份完成验证后，颁发使用自身私钥签名的证书。

当你从位于最顶层的根证书开始，建立一份层级式的证书列表，由每份证书验证其下一级证书的真实性时，就构成了信任链。

证书颁发机构（CA）会验证申请证书的实体身份，通过将公钥与身份绑定的方式签发证书。它们还负责维护证书吊销列表，或使用 在线证书状态协议（OCSP），确保不法分子无法将已吊销的证书用于恶意目的。

什么是中间证书？

中间证书也称为从属CA证书，在证书链中位于根证书与终端实体证书（例如SSL/TLS证书）之间。它由更高层级的证书（例如根证书）签发，可用于签发一份或多份终端用户证书。随着公钥基础设施（PKI）管理复杂度提升、欺诈活动风险增加，根CA会将相关任务委派给中间CA，以简化管理流程并提升安全性。

中间证书通过衔接根证书与终端实体，在公钥基础设施（PKI）中构建起信任链。链中的每个实体验证其下一级实体的身份，该流程会基于整条链的可信度完成终端实体证书的有效性校验。中间证书的有效期通常为10-15年，定期过期与更新有助于维持公钥基础设施（PKI）的安全性与有效性。

中间证书的重要性

将中间CA纳入信任链后，根CA无需直接使用自身私钥签发终端实体证书。这种架构可以提升安全性：即便某一中间CA的私钥泄露，也不会影响根CA的密钥、可信度或签发新证书的能力。这种层级结构还为验证每份证书的真实性提供了清晰、可扩展的架构。

此外，吊销某一中间CA不会影响整个公钥基础设施（PKI）。这一特性既提升了操作灵活性，也支持更细粒度的证书管控。某一中间CA失陷不会自动影响所有终端实体证书或根CA的可信度。这种隔离机制有助于限制安全事件的潜在破坏范围，帮助组织高效隔离并处置问题，支撑公钥基础设施（PKI）的韧性。

什么是根证书？

根证书位于证书层级结构的最顶端，是一种自签名证书，也是整个公钥基础设施（PKI）的最终信任锚。根证书的公钥用于验证中间证书的数字签名，再由中间证书校验终端实体证书的有效性，以此保障数字通信安全、可验证。根证书的有效期最长可达25年，必须离线存储在高安全等级的环境中。

根证书最核心的作用是在公钥基础设施（PKI）中建立信任。它是固有受信任的，其公钥会被预安装或安全分发到Web浏览器、操作系统等依赖方。受信任的根证书是一种用于签发其他证书的特殊X.509数字证书。

为什么根证书十分重要？

根证书是公钥基础设施（PKI）中信任链的基础，为验证层级内所有证书提供起点，确保每一张证书的真实性和完整性。CA/B 论坛负责制定证书签发与管理的相关标准。这对维护标准化的证书生态至关重要，用户可据此将信任延伸至由根证书及其下级中间证书签名的所有证书。

根证书及其公钥会预装在网页浏览器等常用软件中，确保其默认被识别并受信任。操作系统也会在自身的证书存储区（例如 Microsoft 或 Apple 根证书存储区）中保存根证书，并定期更新，添加新的根证书、移除已过期或遭泄露的根证书。

中间证书与根证书的区别

根证书位于证书层级的最顶端。它属于自签名证书，拥有最高信任等级，无需依赖其他机构建立信任。而中间证书位于根证书与终端实体证书之间。
中间证书由根证书签发并签名，也可签名其他中间证书或终端实体证书。

根证书会预装在软件中，或通过证书存储区安全分发。而中间证书本身不会作为可信根存入信任存储区，通常也不会预装在系统中，其信任链路会回溯至签发它的可信根证书颁发机构（CA）。

根证书的吊销属于重大事件，可能需要对大量软件和应用进行大范围更新。吊销中间证书的影响范围更局限，仅会影响证书链中的特定分支。此外，出于安全考虑，根CA会采用离线部署，仅负责为中间CA签名，再由中间CA为终端用户证书和服务器证书签名。

根证书与中间证书存在一些共性。二者都是公钥基础设施（PKI）中建立信任链的必要组成部分，均包含公钥、颁发者信息、数字签名等内容。二者都经过严格的验证流程，以确保真实性、完整性，且符合公钥基础设施（PKI）的层级规则。二者协同作用，保障公钥基础设施（PKI）的安全性以及数字通信的可信度。

根证书与中间证书的协同工作机制

根证书与中间证书共同构成信任链：

• 根CA为中间证书签名，形成信任链的第一个环节。

• 中间证书为其他证书签名。链中的每一张证书都会验证其下一级证书的身份，直至追溯到终端实体证书。

• 在SSL/TLS 握手过程中，Web服务器会向客户端（例如浏览器）出示其SSL/TLS 证书，客户端会检查证书的签名，并沿着证书路径追溯到根证书，以验证其合法性。

Sectigo 可提供的支持

根证书与中间证书是公钥基础设施（PKI）安全体系的核心组成部分。二者协同工作，验证信任链中每张证书的身份，支撑可靠的身份认证与加密机制，进而提升网络安全水平与数据完整性。

从受信任的证书颁发机构（CA）购买数字证书，可保障您的IT基础设施、网站、在线服务与应用的安全。Sectigo拥有多张受信任的根CA证书和大量中间CA证书。我们还会签发终端实体证书，例如 SSL/TLS 证书，让您可以在同一平台完成所有证书采购。这不仅能简化证书管理流程，还可确保证书层级体系内安全策略的一致性。

此外，我们的证书可与兼容多CA的Sectigo Certificate Manager无缝集成，帮助您简化并自动化证书生命周期管理（CLM），实现所有加密资产的实时可视化。 了解更多并启动免费试用 体验“单面板”统一证书管理的便捷性。

想了解更多？联系我们预约Sectigo Certificate Manager演示！

相关文章：

什么是数字证书？

什么是SSL证书信任链

7类SSL证书详解