什麼是 SSL 證書信任鏈

什麼是證書鏈接？

證書鏈是互聯網場景下，建立線上實體身份信任、保障連接安全的基礎。在此鏈路中，一系列數碼證書接續在終端實體證書（即葉子證書）之後——每一張證書都由鏈中下一級的證書頒發機構（CA）簽署，以此證明自身的真實性。鏈路的終點是信任錨，也就是受信任的證書頒發機構（CA）的公鑰驗證密鑰。

證書鏈接的作用是什麼？

證書鏈接是網絡安全領域的關鍵機制。它透過層級結構在數碼通訊中建立信任，讓用戶可安心與線上實體互動。身份驗證機制可阻止惡意攻擊者假冒合法網站（例如網絡釣魚攻擊場景），加密機制則可保障數據傳輸的安全性。

透過證書鏈建立的信任，可防止不法份子盜取安全資訊，避免引致數據外洩及數據失竊事件。證書鏈還可阻止攻擊者使用過期、已吊銷或偽造的證書，從而防範中間人（MITM）攻擊。

證書鏈支援用戶在各類數碼交易中與線上實體建立信任——例如在分享個人數據、輸入登入憑證或填寫支付資訊的場景下。同時，它也是企業符合各類數據私隱法規與安全標準要求的必要條件，該等法規及標準包括《健康保險流通與責任法案》（HIPAA）、支付卡行業數據安全標準（PCI DSS）以及《通用數據保障條例》（GDPR）。

證書鏈的組成部分

證書鏈的層級結構，構建了一套信任從頂層（即根證書）傳遞至底層（即葉子證書）的模型。

• 根證書: 位於證書層級頂端的受信任 CA，會簽發並自簽根證書作為信任錨，為其關聯 CA 所簽發的所有證書建立可信基礎。
• 中繼證書：在信任鏈中，根證書與葉子證書之間存在一張或多張中繼證書，每張中繼證書都由經根 CA 認證的中繼 CA 簽發。
• 葉子證書： 此類終端實體證書用於對用戶、設備或伺服器等單個實體進行身份認證。它透過數碼簽署完成驗證，信任繼承自證書鏈中的上級證書。

根CA是公鑰基礎設施（PKI）的信任根基，根證書的信任會由整條證書鏈繼承。只要鏈上每張證書均有效、簽名正確，且可追溯至受信任的根證書，葉子證書就會被判定為可信。若某個信任錨的私鑰外洩，必須立即在支援相關證書的軟件中移除該根證書的信任狀態，同時需要簽發新的根證書，才可重新簽發原有根證書下的所有中繼證書及葉子證書。

雖然從技術原理而言，根證書可直接簽發葉子證書，但這項操作在公網PKI環境中並不被允許。即使在私有PKI環境中沒有技術機制阻止根證書直接簽發葉子證書，行業最佳做法仍是使用中繼證書簽發實體證書。這樣一來，一旦某張中繼證書發生外洩，影響範圍僅限於該中繼證書下屬簽發的證書，不會波及根證書或其他中繼證書。

證書鏈的運作原理是什麼？

我們以SSL/TLS證書鏈為例說明。網站營運者希望透過SSL證書保障其伺服器的通訊安全，首先，營運者需要確定所需的 SSL/TLS 證書 類型，再向公共證書頒發機構（CA）申請取得相應證書。收到葉子證書後，營運者將其部署至Web伺服器。當用戶造訪該網站時，瀏覽器會執行以下信任驗證流程：

• 瀏覽器會檢查自身預載的信任儲存區中是否存在對應的根CA證書。若找到對應根證書，會繼續驗證中繼證書；否則不會建立連線。
• 瀏覽器使用根證書的公鑰校驗中繼證書的數碼簽署。若簽署有效，便會信任該中繼證書。
• 一條證書鏈可包含一張或多張中繼證書，每張中繼證書的信任均來自其上層CA。客戶端會沿著證書鏈逐一驗證每張證書，確認前一張證書的主體名稱與後一張證書的頒發者名稱一致。
• 隨後瀏覽器會使用中繼證書的公鑰校驗伺服器證書的數碼簽署。若簽署有效，將建立安全連線以進行加密數據交換；若無法驗證路徑上的任何一張證書，瀏覽器會拒絕連線。

證書鏈的信任維護

在公網PKI環境中申請取得 葉子證書 時，您毋須自行處理中繼證書及根證書。公共CA的信任鏈在設立時已完成搭建並通過驗證，具備簽發您所購買的對應類型葉子證書的資格。選擇可靠CA可參考以下標準：

• 選擇信任鏈中使用受信任根證書的CA。
• 選擇公開發布審計報告、符合WebTrust、ETSI等行業標準的CA進行採購。
• 可考慮CA是否會將其證書與其他知名CA進行交叉簽署。
• 考察CA的發展歷史與穩定性，選擇具備長期可靠服務記錄的服務商。
• 選擇可提供您所需全品類證書的CA，包括SSL、S/MIME、程式碼簽署、文件簽署以及eIDAS證書。
• 此外，對基礎設施內所有葉子證書進行生命週期管理，對於持續保障安全、避免業務中斷、數據外洩或服務故障至關重要。但現今企業需要管理的證書數量龐大，手動流程已無法滿足需求。為避免管理疏漏，您需要實現證書資產的全局可視化，並自動化證書生命週期管理（CLM）流程。

Sectigo Certificate Manager（SCM）是一款CA無關的管理平台，可協助您在同一平台集中管理所有私有及公共數碼證書。 立即了解並試用SCM，了解我們如何協助您簡化證書管理工作。

想了解更多？聯絡我們預約Sectigo Certificate Manager演示！