證書頒發機構層級結構：運作原理

Android 近期發布 公布了其在 Android 14 中新增的根證書列表。儘管這一舉措並不完全出人意料，但值得留意的是，部分根證書也被移除 移出受信任列表，當中包括證書頒發機構（CA）領域知名機構所頒發的證書，例如 VeriSign Universal Root Certification Authority 和 Chambers of Commerce Root。

Android 為何作出這項調整？最有可能的原因是，惡意證書頒發機構簽發欺詐證書的情況日益增加。偽造的證書頒發機構會破壞保安，讓簽發該偽造證書的不法分子能夠竊取傳輸中的數據。但只要具備健全的證書頒發流程，您就可以確信自己持有的證書合法有效。

雖然 Android 14 用戶可以因系統的受信任證書列表而稍為安心，但其他用戶卻面對一個難題：我如何確認自己的證書來源？它是否合法？

只要了解證書頒發機構的層級結構，答案就非常簡單。下文會詳細介紹這項結構的定義、運作原理，以及信任鏈中的各個環節。

理解 CA 層級結構與信任鏈

無論您使用的是傳輸層安全（TLS）還是安全套接層（SSL） 安全機制，CA 層級結構都定義了證書頒發機構與終端用戶之間的關係。該層級結構相對簡單，可以將其比喻成一棵樹。

首先是根證書，根證書的數量相對較少。根證書向中間 CA 頒發證書，再由中間 CA 向終端實體或終端用戶頒發證書。

證書在不同實體之間傳遞的路徑稱為信任鏈。每當網站、裝置或應用程式出示證書時，接收方系統會檢查信任鏈的有效性。如果接收方系統偵測到鏈中存在非法實體，就會拒絕該證書並終止通訊或數據傳輸。

由於各方的角色和職責各有不同，下文會說明層級結構中每個層級的具體內容。

根證書

根證書由證書頒發機構頒發並簽署。作為主要證書頒發方的受信任 CA 包括 Sectigo、Entrust、DigiCert 和 QuoVadis。

以常見的護照比喻來說：如果證書相當於護照，那麼根證書頒發方就相當於美國政府或其他國家的政府。它們負責確保證書的合法性，同時維護內部系統的完整性。有效的內部系統至關重要——根 CA 必須嚴格核查其授予證書的主體的合法性。

中間證書

中間證書由中間證書頒發機構頒發，這些機構是獲根 CA 授權、代表根 CA 頒發證書的實體。中間 CA 有多項作用，每一項都有助在信任鏈中建立信任並提升效率：

• 為信任鏈引入一定程度的去中心化特性，因為它們擔當的角色與根 CA 類似。

• 中間 CA 可實現證書系統的可擴展性，因為它們可以充當根 CA 與終端實體之間的中介。根 CA 只需添加新的受信任中間 CA，即可擴展其證書頒發能力。
• 由於中間 CA 必須核查根 CA 授權其頒發的每張證書的合法性，因此它們增添了一層額外的信任保障，讓系統更加安全。

終端實體證書

終端實體證書也稱為「葉子」證書，因為它們位於信任樹的另一端——與根證書相對的一側。終端實體證書包含兩個核心組成部分：

• 終端實體用於發起通訊的公鑰

• 用於驗證證書真確性的根 CA 數碼簽署

裝置、網站和應用程式使用終端實體證書建立安全連線。當終端實體出示證書時，接收方會檢查與該證書關聯的信任鏈，確認其有效性。

舉例來說，若信任鏈分析發現存在非法證書頒發者，接收方會中斷自身與終端實體之間的通訊。終止這類互動是一項重要的安全措施——例如阻止數碼握手過程發生，可防範黑客推送附帶惡意軟件的應用程式或仿冒網站。

高效管理您的證書層級架構

證書層級可為用戶提供可信數碼證書，支援其與受信任方進行安全加密通訊。根證書頒發機構生成根證書後，會將其簽發給中繼證書頒發機構；中繼CA隨後可向終端實體簽發證書。

Sectigo是值得信賴的商業CA，提供全面的證書管理服務，讓您毋須質疑證書來源，亦毋須擔心證書無預警到期。聯絡Sectigo 今日即刻 了解更多資訊。