了解不同类型的证书颁发机构

在数字时代，建立线上信任是开展协作的关键环节。无论是使用第三方供应商服务、线上购物还是通过电子邮件沟通，企业和个人都依赖这种信任开展业务。他们如何确认自己正在与正确的对象通信，而非钓鱼骗局背后的恶意行为者？

证书颁发机构（CA）在实现这一目标的过程中发挥着至关重要的作用。CA遵循严格的行业标准，验证身份并签发数字证书。本指南将为您介绍什么是CA、CA的重要性，以及当前可用的不同类型CA。

什么是证书颁发机构（CA）？

证书可以确保通信系统的身份属实，但系统还需要确认证书本身是真实有效的，这就需要可信第三方参与。证书颁发机构是负责签发证书并为证书真实性提供担保的独立机构。

作为公钥基础设施（PKI）的重要组成部分，CA会创建数字证书，通过密码学手段将公钥与持有者身份绑定。CA负责验证与指定公钥关联的实体身份，并签发可证明该身份的数字证书。在签发证书前，CA会按照特定协议验证申请者身份，协议流程包括核查官方证明文件或开展背景核验。

CA还具备证书撤销机制。当与证书关联的密钥泄露，或者证书对应的实体不再存续时，就会触发证书撤销。

证书颁发机构的重要性

CA在保障互联网安全方面发挥着关键作用。证书可用于保障数字签名安全，并通过HTTPS等协议建立安全的网络连接。

以下是CA在数字世界中至关重要的几个核心原因：

• 建立信任：CA是互联网信任的基础。例如，用户访问网站时，如果网站持有受信任CA签发的有效证书，用户的浏览器就会信任该网站。如果没有这套机制，从未有过交互的双方很难建立信任关系。

• 身份验证：证书签发流程需要验证申请者的身份，这可以确保证书申请实体的身份与其声明一致。
• 防范数据窃取：通过证书建立的安全连接有助于防止未经授权的数据访问。当数据通过安全连接传输时，即使恶意行为者成功拦截数据，加密机制也会使其无法读取内容。
• 防范诈骗： CA可帮助保护用户免受钓鱼攻击以及其他诈骗行为。当用户访问网站时，如果网站持有有效证书，用户可以确信该站点是合法的，而非为窃取个人信息搭建的恶意仿冒站点。
• 证书吊销：如果证书签发有误，或私钥遭到泄露，证书颁发机构（CA）可以吊销该证书，阻止其继续使用。

不同类型的证书颁发机构

每类证书颁发机构（CA）及其签发的证书各有优劣。组织需要根据自身目标、行业监管要求以及所需的信任等级，选择最适合的类型。

下文我们按照职能、权限、产品和层级对证书颁发机构（CA）进行分类，以更清晰地说明每类证书的优缺点。

按职能分类

• 域名验证型（DV）证书颁发机构（CA）： DV证书流程更简单，核查要求更低。DV证书颁发机构（CA）仅验证申请证书对应的域名所有权或控制权后，就会签发证书。DV证书通常价格更低、获取更便捷，但由于不包含域名所有方的组织身份信息，其提供的信任等级较低。
• 组织验证型（OV）证书颁发机构（CA）: 组织验证型（OV）证书颁发机构（CA）在DV证书颁发机构（CA）的基础上更进一步，除验证域名所有权外，还会核验组织名称、合法存续状态、实际地址等组织详情。由于OV证书将域名与特定组织相关联，其信任等级高于DV证书。不过这类证书价格更高，签发耗时也更长。

• 自签名CA：自签名证书并非由受认可的证书颁发机构（CA）签发，而是由使用证书的实体自行生成并签名，这意味着证书信息没有经过外部验证。因此，自签名证书通常不受网页浏览器或其他软件信任，用户访问时会弹出警告。这类证书适用于测试或内部使用场景，但不适合用于安全的公共互联网通信。
• 扩展验证型（EV）证书颁发机构（CA）：EV证书的验证流程最为严格。除验证域名所有权和组织详情外，扩展验证型（EV）证书颁发机构（CA）还会核验组织的实体存续和运营状态、申请人的身份和申请权限，以及组织申请EV证书的相关制度和流程。EV证书拥有最高的信任等级，常被企业和金融机构使用。尽管这类证书的获取成本最高、耗时最长，但对于希望与用户建立最高等级信任的实体而言具有重要价值。

按权限分类

• 公共CA：公共CA也称为根CA，为面向公众的软件和服务器签发数字证书，用于互联网上的安全通信。公共CA受浏览器和操作系统厂商信任，其根证书被预置在网页浏览器和操作系统中。这类CA会根据所申请证书的类型，遵循严格的协议和规范核验实体身份。
• 私有/内部CA：私有CA或内部CA在组织内部使用用于签发内部使用的证书。这类CA通常在组织外部不受信任。

按产品分类

• 政府CA：政府机构通常会设立政府CA，为政府实体签发证书，部分场景下也会为一国境内的公民和企业签发证书。这类CA通常遵循相关政府法规规定的严格身份验证流程和政策，美国联邦公钥基础设施（FPKI）就是其中一例。
• 商业证书颁发机构（CA）： 商业CA向公众提供证书服务。这类CA提供多种证书类型，包括DV、OV和EV证书，可用于网站防护、安全电子邮件通信、用户身份认证等场景。Sectigo等商业CA提供完善的客户支持、各类通配符证书和多域名证书，以及证书有效期更长.
• 开源证书颁发机构（CA）： 开源证书颁发机构（CA）基于开源软件与开源原则提供证书服务。这类机构的基础服务通常可免费使用，其底层软件为开源形式，公众可审查代码并参与贡献。最具代表性的案例是由互联网安全研究小组运营的非营利证书颁发机构（CA）Let’s Encrypt。不过，这类机构仅提供DV证书，信任等级较低，且通常证书有效期更短。

层级式证书颁发机构（CA）

• 颁发CA： 颁发CA的真实性不会被操作系统直接认可，而是需要通过中间CA完成验证。只要中间CA能成功完成认证，颁发CA签发的所有证书就会被视为可信。
• 中间CA： 在层级式公钥基础设施（PKI）架构中，中间CA位于根CA（即公开CA）与颁发CA之间。中间CA的证书由根CA签发，之后可使用该证书向下级中间CA或直接向终端实体签发证书。

在数字世界建立信任

证书颁发机构（CA）是保障数字通信安全与完整性的核心角色，负责验证身份、签发数字证书，在用户与各类实体之间构建信任关系。CA还会提供不同类型的证书，以满足不同组织的需求与应用场景。

如果您需要一家成熟可靠、经过实践验证的证书颁发机构（CA）来保护网站安全、完成用户身份认证并实现安全电子邮件通信，Sectigo可提供相关支持。作为全球规模领先的商业CA之一，Sectigo可提供多种类型的证书以适配您的需求，并提供全面的客户支持。 

立即联系Sectigo 并探索我们的全系列数字证书解决方案。