Sectigo 網誌
根證書與中繼證書對比
根證書與中繼證書是公鑰基礎設施（PKI）的核心組成部分，可保障數碼通訊安全。根證書位於信任層級的頂端，中繼證書則承擔連接根證書與終端用戶證書的銜接作用。理解二者的角色與差異，是維護網絡安全與信任體系的關鍵。
根證書與中繼證書有哪些差異？
公鑰基礎設施（PKI）是用於驗證線上實體身份真實性、保障數碼通訊安全的基礎性框架。數碼證書是 PKI 的核心：不同類型的證書共同組成層級結構，構建起信任鏈，保障線上資訊交換的安全性與完整性。
我們將探討根證書與中繼證書的角色、二者的重要性、差異，以及它們如何協同支撐安全的線上通訊。
理解數碼證書
數碼證書透過身份認證與加密機制保障數碼通訊的安全與完整。這類加密憑證可驗證用戶、設備、伺服器、網站或組織的身份，並將該身份與公鑰綁定。每一張證書都包含密鑰相關資訊、所有者身份資訊、簽發方證書頒發機構（CA）以及其他相關詳情。
證書是 PKI 體系的組成部分，PKI 是用於建立和管理公鑰的工具、政策與流程集合，可支撐身份驗證、加密、數碼簽署等功能。PKI 透過數碼證書構建信任鏈:
- 用戶會生成一對密鑰，分別是用於加密的公鑰，以及用於解密的私鑰。
- 用戶向 CA 提交證書簽名請求（CSR），請求中包含用戶的公鑰與身份資訊。
- CA 對用戶身份完成驗證後，頒發使用自身私鑰簽名的證書。
當你從位於最頂層的根證書開始，建立一份層級式的證書列表，由每份證書驗證其下一級證書的真實性時，就構成了信任鏈。
證書頒發機構（CA）會驗證申請證書的實體身份，透過將公鑰與身份綁定的方式簽發證書。它們還負責維護證書吊銷列表，或使用 在線證書狀態協議（OCSP），確保不法分子無法將已吊銷的證書用於惡意目的。
甚麼是中間證書？
中間證書也稱為從屬CA證書，在證書鏈中位於根證書與終端實體證書（例如SSL/TLS證書）之間。它由更高層級的證書（例如根證書）簽發，可用於簽發一份或多份終端用戶證書。隨着公鑰基礎設施（PKI）管理複雜度提升、欺詐活動風險增加，根CA會將相關任務委派給中間CA，以簡化管理流程並提升安全性。
中間證書透過銜接根證書與終端實體，在公鑰基礎設施（PKI）中構建起信任鏈。鏈中的每個實體驗證其下一級實體的身份，該流程會基於整條鏈的可信度完成終端實體證書的有效性校驗。中間證書的有效期通常為10-15年，定期過期與更新有助於維持公鑰基礎設施（PKI）的安全性與有效性。
中間證書的重要性
將中間CA納入信任鏈後，根CA無需直接使用自身私鑰簽發終端實體證書。這種架構可以提升安全性：即便某一中間CA的私鑰洩露，也不會影響根CA的密鑰、可信度或簽發新證書的能力。這種層級結構還為驗證每份證書的真實性提供了清晰、可擴展的架構。
此外，吊銷某一中間CA不會影響整個公鑰基礎設施（PKI）。這一特性既提升了操作靈活性，也支援更細粒度的證書管控。某一中間CA失陷不會自動影響所有終端實體證書或根CA的可信度。這種隔離機制有助於限制安全事件的潛在破壞範圍，幫助機構高效隔離並處置問題，支撐公鑰基礎設施（PKI）的韌性。
甚麼是根證書？
根證書位於證書層級結構的最頂端，是一種自簽名證書，也是整個公鑰基礎設施（PKI）的最終信任錨。根證書的公鑰用於驗證中間證書的數碼簽署，再由中間證書校驗終端實體證書的有效性，以此保障數碼通訊安全、可驗證。根證書的有效期最長可達25年，必須離線儲存在高安全等級的環境中。
根證書最核心的作用是在公鑰基礎設施（PKI）中建立信任。它是固有受信任的，其公鑰會被預先安裝或安全分發到網頁瀏覽器、操作系統等依賴方。受信任的根證書是一種用於簽發其他證書的特殊X.509數碼證書。
為甚麼根證書十分重要？
根證書是公鑰基礎設施（PKI）中信任鏈的基礎，為驗證層級內所有證書提供起點，確保每一張證書的真實性和完整性。CA/B 論壇負責制定證書簽發與管理的相關標準。這對維護標準化的證書生態至關重要，用戶可據此將信任延伸至由根證書及其下級中間證書簽名的所有證書。
根證書及其公鑰會預裝在網頁瀏覽器等常用軟件中，確保其預設被識別並受信任。操作系統也會在自身的證書存儲區（例如 Microsoft 或 Apple 根證書存儲區）中保存根證書，並定期更新，添加新的根證書、移除已過期或遭泄露的根證書。
中間證書與根證書的區別
根證書位於證書層級的最頂端。它屬於自簽名證書，擁有最高信任等級，無需依賴其他機構建立信任。而中間證書位於根證書與終端實體證書之間。
中間證書由根證書簽發並簽名，也可簽名其他中間證書或終端實體證書。
根證書會預裝在軟件中，或透過證書存儲區安全分發。而中間證書本身不會作為可信根存入信任存儲區，通常也不會預裝在系統中，其信任鏈路會回溯至簽發它的可信根證書頒發機構（CA）。
根證書的吊銷屬於重大事件，可能需要對大量軟件和應用進行大範圍更新。吊銷中間證書的影響範圍更局限，僅會影響證書鏈中的特定分支。此外，出於安全考慮，根CA會採用離線部署，僅負責為中間CA簽名，再由中間CA為終端用戶證書和伺服器證書簽名。
根證書與中間證書存在一些共性。二者都是公鑰基礎設施（PKI）中建立信任鏈的必要組成部分，均包含公鑰、頒發者信息、數碼簽署等內容。二者都經過嚴格的驗證流程，以確保真實性、完整性，且符合公鑰基礎設施（PKI）的層級規則。二者協同作用，保障公鑰基礎設施（PKI）的安全性以及數碼通訊的可信度。
根證書與中間證書的協同工作機制
根證書與中間證書共同構成信任鏈：
- 根CA為中間證書簽名，形成信任鏈的第一個環節。
- 中間證書為其他證書簽名。鏈中的每一張證書都會驗證其下一級證書的身份，直至追溯到終端實體證書。
- 在SSL/TLS 握手過程中，Web伺服器會向客戶端（例如瀏覽器）出示其SSL/TLS 證書，客戶端會檢查證書的簽名，並沿着證書路徑追溯到根證書，以驗證其合法性。
Sectigo 可提供的支援
根證書與中繼證書是公鑰基礎設施（PKI）安全體系的核心組成部分。兩者協同運作，驗證信任鏈中每張證書的身份，支撐可靠的身份認證與加密機制，繼而提升網絡安全水平與數據完整性。
向受信任的證書頒發機構（CA）購買數碼證書，可保障您的IT基礎設施、網站、線上服務與應用程式的安全。Sectigo擁有多張受信任的根CA證書及大量中繼CA證書。我們還會簽發終端實體證書，例如 SSL/TLS 證書，讓您可在同一平台完成所有證書採購。這不但能簡化證書管理流程，亦可確保證書層級體系內安全策略的一致性。
此外，我們的證書可與相容多CA的Sectigo Certificate Manager無縫整合，協助您簡化並自動化證書生命週期管理（CLM），實現所有加密資產的實時可視化。 了解更多並啟動免費試用 體驗「單面板」統一證書管理的便捷性。