認識不同類型的證書頒發機構

在數碼時代，建立線上信任是展開協作的關鍵環節。不論是使用第三方供應商服務、線上購物還是以電郵溝通，企業和個人都依賴這份信任開展業務。他們如何確認自己正在與正確的對象通訊，而非釣魚詐騙背後的惡意行為者？

證書頒發機構（CA）在實現這個目標的過程中擔當至關重要的角色。CA遵循嚴格的行業標準，驗證身分並簽發數碼證書。本指南將為您介紹甚麼是CA、CA的重要性，以及現時可用的不同類型CA。

甚麼是證書頒發機構（CA）？

證書可確保通訊系統的身分屬實，但系統還需要確認證書本身真實有效，這就需要可信第三方參與。證書頒發機構是負責簽發證書，並為證書真實性作擔保的獨立機構。

作為公鑰基礎設施（PKI）的重要組成部分，CA會建立數碼證書，透過密碼學方式把公鑰與持有人的身分綁定。CA負責驗證與指定公鑰關聯的實體身分，並簽發可證明該身分的數碼證書。在簽發證書前，CA會按照特定協議驗證申請者的身分，協議流程包括查核官方證明文件或展開背景審核。

CA還設有證書吊銷機制。當與證書關聯的密鑰外泄，又或者證書對應的實體不再存續時，就會觸發證書吊銷。

證書頒發機構的重要性

CA在保障互聯網安全方面擔當關鍵角色。證書可用於保障數碼簽署安全，並透過HTTPS等協議建立安全的網絡連線。

以下是CA在數碼世界中不可或缺的幾個核心原因：

• 建立信任：CA是互聯網信任的基礎。舉例來說，用戶造訪網站時，如果網站持有受信任CA簽發的有效證書，用戶的瀏覽器就會信任該網站。如果沒有這套機制，從未互動過的雙方很難建立信任關係。

• 身分驗證：證書簽發流程需要驗證申請者的身分，這可確保提出證書申請的實體，其身分與其聲明的內容一致。
• 防範數據竊取：透過證書建立的安全連線有助防止未經授權的數據存取。當數據經由安全連線傳輸時，即使惡意行為者成功攔截數據，加密機制也會令其無法讀取內容。
• 防範詐騙： CA可協助保護用戶免受網絡釣魚攻擊以及其他詐騙行為。當用戶訪問網站時，若網站持有有效證書，用戶可確信該網站是合法的，而非為盜取個人資料建立的惡意仿冒網站。
• 證書吊銷：如果證書簽發有誤，或密鑰遭到泄露，證書頒發機構（CA）可以吊銷該證書，阻止其繼續使用。

不同類型的證書頒發機構

每類證書頒發機構（CA）及其簽發的證書各有優劣。機構需要根據自身目標、行業監管要求以及所需的信任等級，選擇最合適的類型。

下文我們按照職能、權限、產品和層級對證書頒發機構（CA）進行分類，以更清晰地說明每類證書的優缺點。

按職能分類

• 域名驗證型（DV）證書頒發機構（CA）： DV證書流程更簡單，核查要求更低。DV證書頒發機構（CA）僅驗證申請證書對應的域名所有權或控制權後，就會簽發證書。DV證書通常價格更低、獲取更便捷，但由於不包含域名持有方的機構身份資訊，其提供的信任等級較低。
• 機構驗證型（OV）證書頒發機構（CA）：機構驗證型（OV）證書頒發機構（CA）在DV證書頒發機構（CA）的基礎上更進一步，除驗證域名所有權外，還會核查機構名稱、合法存續狀態、實際地址等機構詳情。由於OV證書將域名與特定機構相關聯，其信任等級高於DV證書。不過這類證書價格更高，簽發耗時也更長。

• 自簽名CA：自簽名證書並非由受認可的證書頒發機構（CA）簽發，而是由使用證書的實體自行生成並簽名，這意味著證書資訊沒有經過外部驗證。因此，自簽名證書通常不受網頁瀏覽器或其他軟件信任，用戶訪問時會彈出警告。這類證書適用於測試或內部使用場景，但不適合用於安全的公共互聯網通信。
• 擴展驗證型（EV）證書頒發機構（CA）：EV證書的驗證流程最為嚴格。除驗證域名所有權和機構詳情外，擴展驗證型（EV）證書頒發機構（CA）還會核查機構的實體存續和運營狀態、申請人的身份和申請權限，以及機構申請EV證書的相關制度和流程。EV證書擁有最高的信任等級，常被企業和金融機構使用。儘管這類證書的獲取成本最高、耗時最長，但對於希望與用戶建立最高等級信任的實體而言具有重要價值。

按權限分類

• 公共CA：公共CA也稱為根CA，為面向公眾的軟件和伺服器簽發數碼證書，用於互聯網上的安全通信。公共CA受瀏覽器和操作系統廠商信任，其根證書被預置在網頁瀏覽器和操作系統中。這類CA會根據所申請證書的類型，遵循嚴格的協議和規範核查實體身份。
• 私有/內部CA：私有CA或內部CA在機構內部使用用於簽發內部使用的證書。這類CA通常在機構外部不受信任。

按產品分類

• 政府CA：政府機構通常會設立政府CA，為政府實體簽發證書，部分場景下也會為一國境內的公民和企業簽發證書。這類CA通常遵循相關政府法規規定的嚴格身份驗證流程和政策，美國聯邦公鑰基礎設施（FPKI）就是其中一例。
• 商業證書頒發機構（CA）： 商業CA向公眾提供證書服務。這類CA提供多種證書類型，包括DV、OV和EV證書，可用於網站防護、安全電郵通訊、用戶身份認證等場景。Sectigo等商業CA提供完善的客戶支援、各類通配符證書和多域名證書，以及證書有效期更長.
• 開源證書頒發機構（CA）： 開源證書頒發機構（CA）基於開源軟件與開源原則提供證書服務。這類機構的基礎服務通常可免費使用，其底層軟件為開源形式，公眾可審查代碼並參與貢獻。最具代表性的案例是由互聯網安全研究小組營運的非牟利證書頒發機構（CA）Let’s Encrypt。不過，這類機構僅提供DV證書，信任等級較低，且通常證書有效期更短。

層級式證書頒發機構（CA）

• 頒發CA： 頒發CA的真實性不會被操作系統直接認可，而是需要通過中間CA完成驗證。只要中間CA能成功完成認證，頒發CA簽發的所有證書就會被視為可信。
• 中間CA： 在層級式公鑰基礎設施（PKI）架構中，中間CA位於根CA（即公開CA）與頒發CA之間。中間CA的證書由根CA簽發，之後可使用該證書向下級中間CA或直接向終端實體簽發證書。

在數碼世界建立信任

證書頒發機構（CA）是保障數碼通訊安全與完整性的核心角色，負責驗證身份、簽發數碼證書，在用戶與各類實體之間構建信任關係。CA還會提供不同類型的證書，以滿足不同機構的需求與應用場景。

如果您需要一家成熟可靠、經過實踐驗證的證書頒發機構（CA）來保護網站安全、完成用戶身份認證並實現安全電郵通訊，Sectigo可提供相關支援。作為全球規模領先的商業CA之一，Sectigo可提供多種類型的證書以配合您的需求，並提供全面的客戶支援。 

立即聯絡Sectigo 並探索我們的全系列數碼證書解決方案。