Sectigo 網誌
什麼是數碼證書？
了解數碼證書的定義、重要性、不同類型與適用場景等內容，找尋適合貴機構的數碼證書方案。
數碼證書是用於確認網站真實性的重要安全憑證。它的作用與密碼十分相似，每個網站都會獲得專屬的加密密鑰。名為證書頒發機構（CA）的第三方機構會驗證該加密密鑰是否歸屬對應的合法網站。密碼學與公開密鑰基礎設施（PKI）的這種強大組合，為裝置、用戶與網站之間建立了信任基礎。
不少網站管理員與企業管理者都知道數碼證書十分重要，但圍繞這類安全解決方案仍存在不少誤解。為此，我們編寫了這份全面指南，為您介紹數碼證書相關的全部必要知識：
- 數碼證書有什麼用途？
- 數碼證書為什麼重要？
- 數碼證書與數碼簽署有什麼區別？
- 數碼證書的主要類型有哪些？
- 數碼證書是如何頒發的？
數碼證書有什麼用途？
現今的互聯網用戶比以往更為謹慎。他們希望確認自己造訪的網站是可靠的，尤其是打算購買商品或註冊服務時。用戶依賴數碼證書判斷經常造訪的網站是否可信。
數碼證書首先是一種可靠的身份確認形式。應用在網站上時，它可以即時顯示網站的認證狀態。理想情況下，數碼證書需要符合X.509 標準的要求，該標準由國際電信聯盟（ITU）制定。這一標準使用接口描述語言抽象語法標記一（ASN.1）來定義序列化與反序列化的數據結構。在該證書格式下，會使用公開密鑰與私密密鑰對來加密或解密訊息。
典型的證書流程從名為握手的初始環節開始：通訊雙方交換公開密鑰，建立安全連線。私密密鑰也會在此過程中生成，但僅在伺服器端使用。上述公開密鑰與私密密鑰共同生成的數據可用於建立額外的加密密鑰，這類短期密鑰稱為工作階段密鑰。證書在這一流程中提供包含公開密鑰的數據檔案。
數碼證書的重要性
數碼證書是現時基於Web的身份認證領域的黃金標準，其優勢包括：
網絡安全
現代網絡安全策略需要全面的分層防護方法，透過多種方案協同作用，最大程度抵禦惡意主體的攻擊。數碼證書是這套防護體系的重要組成部分，可有效防範中間人攻擊等篡改行為。
身份認證
身份認證是網絡安全的重要組成部分，數碼證書透過限制敏感數據的存取權限實現身份認證，繼而降低惡意主體造成破壞的可能性。基於證書的身份認證是一種可在各類端點驗證身份的可靠方案。相較於生物識別、一次性密碼等其他常見身份認證方式，證書的適用場景更廣泛。
可擴展性
少有網絡安全方案能像數碼證書一樣具備良好的可擴展性。數碼證書的簽發和重簽流程相對簡便，可在企業發展的各個階段部署應用。同時，證書管理方案可保障：無論簽發了多少張證書，都能在其整個生命週期內保持有效、可信。
用戶信任
有判斷力的用戶希望能百分百確認自己存取的網站是可信的。數碼證書提供了易於識別的可信標識，這類標識的信任基礎是用戶日常使用的瀏覽器所信任的證書頒發機構（CA）。
現今的企業會投入大量精力與客戶建立良好關係，但如果身份認證環節存在缺失，將很難建立真正的信任關係，也難以說服客戶完成轉化。
長期盈利能力
上述優勢本身都十分重要，同時它們還能共同形成一個極具吸引力的價值：提升盈利能力。如果沒有部署數碼證書，盈利能力可能會快速受損——如果訪客無法從心底信任品牌和網站，就很難轉化為客戶。
此外，缺失數碼證書還可能提升未來發生數據泄露的風險。數據泄露不僅處置難度高、成本大，還會進一步損耗用戶信任、削弱盈利能力。數碼證書是規避這類問題的低成本手段，可帶來可觀的投資回報。
數碼證書與數碼簽名的區別
不應將數碼證書與數碼簽名混淆。後者類似實體簽名，對於簽名人而言是完全唯一的。不過數碼簽名的作用不止於實體簽名的功能，它還可以確認目標文檔的來源。和數碼證書一樣，數碼簽名依賴公鑰基礎設施（PKI），透過公鑰和私鑰的密鑰對協同完成消息的加解密。
數碼證書同樣基於公鑰基礎設施（PKI），但目的是驗證特定用戶或網站的合法性。數碼證書通常由證書頒發機構（CA）簽發，而數碼簽名可透過各類安全機構或其他渠道獲取。數碼簽名的核心作用是明確簽名人的責任，保護接收方權益；而數碼證書的作用是建立可信度，為用戶提供必要的安全保障。
數碼證書的不同類型
數碼證書有多種形態，不同類型在獲取便捷性、安全強度等諸多因素上存在差異。在選擇數碼證書前理解這些差異十分重要，因為並非所有數碼證書都能提供同等水平的防護。
SSL/TLS 證書
提到「典型」的數碼證書，大多數人最先想到的就是 SSL/TLS 證書。Secure socket layer (SSL) certificates在普通公眾中的認知度尤其高。這類證書透過有時被稱為「SSL握手」的流程驗證Web伺服器是否持有SSL證書；驗證通過後，地址欄會顯示HTTPS標識，證明網站已透過SSL協議進行加密傳輸。
後續推出的傳輸層安全（TLS）是SSL的升級版本，修復了SSL的關鍵漏洞，提供了更高等級的安全防護。
目前有多種types of SSL/TLS certificates可供選擇，例如：
- 域名驗證型。這類證書獲取便捷，域名驗證（DV） SSL證書提供256位元加密，同時完成域名所有權驗證。這類證書因簽發速度快而具備極高的便利性，但也正因為簽發速度快，它們相比OV及EV證書更容易被惡意利用。
- 組織驗證型。這類證書可額外提供數碼信任要素，組織驗證（OV） 是面向公眾的網站的理想解決方案，因為證書頒發機構（CA）必須先驗證申請組織的相關資訊，才會簽發該類證書。獲取這類證書需要完成更多流程，但它的安全性略高於前述DV證書。
- 擴展驗證型。這類證書提供最高級別的線上信任，擴展驗證（EV） 是電商網站的業界標準方案，同時也強烈建議用於企業網站。該類證書需要經過深度審核流程，成本更高、簽發耗時也稍長，但同時也能降低惡意主體獲取該級別證書的機會。
客戶端證書
客戶端證書用於在用戶（即客戶端）向遠端伺服器發起請求時，驗證單個用戶的身份。未持有有效客戶端證書的用戶，將無法存取甚至檢視受保護的頁面。這一機制常被應用在透過S/MIME（安全/多用途互聯網郵件擴展） 認證實現電郵加密的場景中。
啟用S/MIME協定後，可透過嚴格的加密流程完成訊息身份驗證。收件人可以確信：電郵內容僅由獲授權的一方簽署，且電郵在傳輸過程中未被更改或竄改。
最常見的證書是什麼？
如前所述，SSL證書是大眾認知度最高的證書類型，但不存在適用於所有場景的通用最優證書，具體選擇很大程度上取決於您的實際需求。
證書簽發
確定符合自身需求的數碼證書類型後，您還需要選擇證書的簽發渠道與申請方式。該流程通常遵循統一的簡易步驟：選擇受信任的證書頒發機構（如Sectigo®），提交正式申請，按要求提供證明材料，最終完成證書安裝。下文將逐一梳理該過程中的所有關鍵注意事項：
誰可以簽發數碼證書？
如前所述，證書頒發機構是數碼證書體系的核心。大多數網頁瀏覽器會預置已認可的CA列表，並透過體系化的驗證流程確保這些CA本身是可信的。
一個便於理解的類比：CA的作用很像車輛管理局（DMV，機動車輛管理局），只是服務場景為互聯網。車輛管理局是受公眾信任的機構，既負責判定申請人是否具備安全駕駛車輛的能力，也負責確認所有駕照申請人的身份。同理，CA負責驗證網頁、用戶或裝置的身份是否真實。
CA主要分為兩類：公共CA和私有CA。公共CA具備獨立營運屬性，絕對不能受證書申請主體控制，且必須符合基線要求 遵守CA/瀏覽器論壇制定的規則。私有CA則可由簽發證書的機構自行管控。不過在大多數場景下，我們提到CA時，指的是公信力更強、更受信任的公共CA，這類CA在維護公鑰密碼體系安全方面共同發揮着關鍵作用。
可否自行建立證書？
上文提及的私有數碼證書有時被稱為自簽名證書，因為此類證書由企業或開發者直接建立並簽署，而非由受信任的證書頒發機構（CA）簽發。這類證書建基於與公鑰證書相同的公鑰基礎設施（PKI），但自簽名版本不涉及第三方驗證。
採用自行搭建的方式或許很吸引，但請緊記：數碼證書的核心價值在於由受信任的第三方簽發。因此，雖然從技術層面而言您可以自行建立證書，但這類證書不具備公鑰證書同等的可信度。不過目前許多服務商都提供價格大眾化、申請便捷的數碼證書，同時也有簡單易用的方案，可確保證書得到妥善管理與重新簽發。
簽發要求與步驟
數碼證書的申請流程在一定程度上取決於您選擇的服務商及證書類型，但一般而言，您需要遵循以下核心步驟：
- 建立證書簽名請求（CSR）。證書簽名請求是向證書頒發機構（CA）提交公鑰的標準化方案，在取得SSL證書前通常需要提交該請求。當中包含域名、機構名稱、所在地及聯絡資訊等關鍵內容。
- 完成域名控制驗證（DCV）。提交CSR後，您可透過多種方式完成域名驗證，主流驗證方式包括電郵驗證、HTTPS哈希驗證，以及域名系統（DNS）的規範名稱記錄（CNAME）驗證。
- 按需提供額外證明文件。根據您所需的證書類型，可能需要亦可能不需要提供額外證明文件。申請EV證書時，需完成全面核驗，以驗證主體的實體存在、營運狀態、法定名稱及慣用名稱。
- 安裝證書。您的申請已通過審核，且已收到CA簽發的證書，接下來需要完成證書安裝。有關流程因瀏覽器和操作系統而異，但一般需要下載證書，並將其綁定到需要防護的網站上。
證書重簽
數碼證書並非永久有效，必須定期重新簽發。首次申請證書時請緊記這一點；您前期完成的幾乎所有流程後續幾乎都需要重複操作。
證書有效期存在一定差異，但一般遵循CA/瀏覽器論壇訂立的標準。多數情況下，SSL/TLS證書的有效期為398天，程式碼簽署證書的有效期為整整三年。不過SSL/TLS證書的有效期可能會調整，目前業界有大量關於可能推行90天有效期證書.
證書續期應在數碼證書到期前完成。若等待過久，可能會遭遇嚴重的業務中斷，甚至出現證書故障。值得慶幸的是，大多數CA會在證書到期前提前發送通知。
較短的有效期在續期時似乎會帶來不便，但長遠而言是有利的，因為這能加快算法更新的落地速度。有效期窗口越短，使用最新、最安全算法的可能性就越高。
根據您使用的CA不同，或許可以重用原始CSR，但多數情況下您需要建立全新的CSR，並再次完成DCV流程。
對於管理多張證書的企業，強烈建議考慮部署證書管理系統，用於管理證書完整生命週期，並協助實現證書重簽流程自動化。
使用數碼證書保護您的網站
數碼證書是現代網站的必備配置。但證書的獲取渠道至關重要——如果沒有選擇合適的證書頒發機構（CA），證書能起到的防護作用十分有限。
作為聲譽卓著的業界領導者，Sectigo 應當是您首選渠道的數碼證書首選獲取渠道。我們提供多種解決方案，涵蓋多類SSL/TLS 證書類型。我們的證書生命週期管理服務可協助您實現大規模身份安全防護。
作為業內聲譽卓著的證書頒發機構（CA），我們獲得數十萬客戶信賴，當中包括超過三分之一的財富1000強企業。我們深耕數碼安全領域，致力提供所需工具與專業見解，保障您及您客戶的安全。
準備好開始了嗎？聯絡我們以了解更多資訊。