什么是网络安全中级证书？

最后更新于 3 3 月, 2025 由 Dionisie Gitlan

在探索数字安全时，你会遇到中间证书这个术语。但什么是中间证书，为什么它如此重要？让我们来分析一下，了解中间证书如何融入 SSL/TLS 框架和更广泛的公钥基础设施（PKI）。

什么是中间证书？

在 SSL/TLS 证书层次结构中， 中间证书位于根证书和最终用户证书之间。它的主要作用是从根证书颁发机构（CA）到终端实体（如网站或应用程序）使用的最终证书之间的信任桥梁。从技术上讲，它是一个包含公钥、签发机构签名和其他元数据的文件。

要形象地理解这一点，请想象一个证书链。位于顶端的是根证书–一个不直接签署所有证书的受信任机构。相反，它签发中间证书，然后由中间证书签发最终用户证书。这种层次结构有助于更有效地管理和保护数字证书。

以下是中间证书在SSL/TLS 协议中的功能：

签发：根证书颁发机构 (CA)颁发中间证书。这些证书不直接用于网络服务器，而是连接根 CA 和终端实体证书。
证书签名请求（CSR）：网站需要证书时，会生成CSR并发送给 CA。CSR 包括公钥和组织详情等信息。
签名和验证：CA 验证 CSR 并签发中间证书（CA 捆绑）和最终用户证书。中间证书由根 CA 的私钥签名，以确保其合法性。
信任链：中间证书颁发机构签署最终用户证书。浏览器或客户端可通过信任链追溯到根证书，以确认信任。
建立信任：当用户连接到安全网站时，浏览器会检查整个证书链–从最终用户证书到中间 CA，最后到根证书。如果所有证书都是有效和可信的，那么连接就是安全的。
证书撤销和更新：如果中间证书和最终用户证书受损或过期，CA 可以撤销和更新这些证书。浏览器通过证书吊销列表（CRL）或在线证书状态协议（OCSP）检查吊销状态，以确保证书有效。

中间证书是必不可少的，原因有几个：

了解根证书和中间证书之间的区别可以帮助你排除各种 SSL 相关问题。

不同类型的中间证书包括

单一中间 CA：为特定目的或实体签发证书的直接 CA。
交叉签名证书：由多个根 CA 签名的中间证书，以确保不同根存储的兼容性。
其他中间证书：针对特殊用例或由具有不同角色和权限的不同中间 CA 签发。例如，Sectigo为特定用途签发不同类型的中间证书。其中一个例子是他们的代码签名中间 CA，专门用于签发代码签名证书。该中级 CA 可确保软件和应用程序的验证和安全。

CA 向管理自己下属 CA 的组织签发中间证书。普通用户通常不会生成或申请中间证书。

要获得一个，您必须与一个受信任的 CA 建立关系，该 CA 允许您充当从属 CA。

如果你是一个管理公钥基础设施（PKI）的组织，你可以向 CA 申请中间证书。你通常需要证明你的系统的安全性以及你负责任地签发证书的意图。

在签发最终用户证书时，CA 通常会提供一个CA 捆绑包，其中包括建立从最终用户证书到根证书的信任链所需的中间证书。该证书捆绑包安装在服务器上，即使在旧版本上，浏览器也能正确验证证书。

证书颁发机构在向客户颁发证书时使用中间证书来保护其根证书。以下是它们的作用：

公共 CA 基础设施：Let’s Encrypt、DigiCert 等主要 CA 通过中介机构签发 SSL/TLS 证书。这种做法可确保 CA 根证书的安全。
专用 PKI 系统：拥有内部公钥基础设施（PKI）的企业使用中间证书来管理组织内部的信任。它们可能为不同的部门或应用程序颁发中间证书，每个部门或应用程序负责签署其最终用户证书。
下级 CA：大型机构可从主 CA 获得中间证书。这些组织可以充当下级 CA，为特定域或服务签发证书。