數(shù)字證書(shū)及CA的掃盲介紹

先說(shuō)一個(gè)通俗的例子

　　考慮到證書(shū)體系的相關(guān)知識(shí)比較枯燥、晦澀。俺先拿一個(gè)通俗的例子來(lái)說(shuō)事兒。

　　◇ 普通的介紹信

　　想必大伙兒都聽(tīng)說(shuō)過(guò)介紹信的例子吧？假設(shè) A 公司的張三先生要到 B 公司去拜訪，但是 B 公司的所有人都不認(rèn)識(shí)他，他咋辦捏？常用的辦法是帶公司開(kāi)的一張介紹信，在信中說(shuō)：茲有張三先生前往貴公司辦理業(yè)務(wù)，請(qǐng)給予接洽......云云。然后在信上敲上A公司的公章。

　　張三先生到了 B 公司后，把介紹信遞給 B 公司的前臺(tái)李四小姐。李小姐一看介紹信上有 A 公司的公章，而且 A 公司是經(jīng)常和 B 公司有業(yè)務(wù)往來(lái)的，這位李小姐就相信張先生不是歹人了。

　　說(shuō)到這，愛(ài)抬杠的同學(xué)會(huì)問(wèn)了：萬(wàn)一公章是偽造的，咋辦捏？在此，俺要先聲明，在本例子中，先假設(shè)公章是難以偽造的，否則俺的故事沒(méi)法說(shuō)下去鳥(niǎo)。

　　◇ 引入中介機(jī)構(gòu)的介紹信

　　好，回到剛才的話題。如果和 B 公司有業(yè)務(wù)往來(lái)的公司很多，每個(gè)公司的公章都不同，那前臺(tái)就要懂得分辨各種公章，非常滴麻煩。所以，有某個(gè)中介公司 C，發(fā)現(xiàn)了這個(gè)商機(jī)。C公司專門(mén)開(kāi)設(shè)了一項(xiàng)“代理公章”的業(yè)務(wù)。

　　今后，A 公司的業(yè)務(wù)員去 B 公司，需要帶2個(gè)介紹信：

　　介紹信1

　　含有 C 公司的公章及 A 公司的公章。并且特地注明：C 公司信任 A 公司。

　　介紹信2

　　僅含有 A 公司的公章，然后寫(xiě)上：茲有張三先生前往貴公司辦理業(yè)務(wù)，請(qǐng)給予接洽......云云。

　　某些不開(kāi)竅的同學(xué)會(huì)問(wèn)了，這樣不是增加麻煩了嗎？有啥好處捏？

　　主要的好處在于，對(duì)于接待公司的前臺(tái)，就不需要記住各個(gè)公司的公章分別是啥樣子的；他/她只要記住中介公司 C 的公章即可。當(dāng)他/她拿到兩份介紹信之后，先對(duì)介紹信1的 C 公章，驗(yàn)明正身；確認(rèn)無(wú)誤之后，再比對(duì)介紹信1和介紹信2的兩個(gè) A 公章是否一致。如果是一樣的，那就可以證明介紹信2是可以信任的了。

　　★ 相關(guān)專業(yè)術(shù)語(yǔ)的解釋

　　費(fèi)了不少口水，終于說(shuō)完了一個(gè)俺自認(rèn)為比較通俗的例子。如果你聽(tīng)到到這，還是想不明白這個(gè)例子在說(shuō)啥，那后續(xù)的內(nèi)容，就不必浪費(fèi)時(shí)間聽(tīng)了 :(

　　下面，俺就著上述的例子，把相關(guān)的名詞，作一些解釋。

　　◇ 什么是證書(shū)？

　　“證書(shū)”洋文也叫“digital certificate”或“public key certificate”（專業(yè)的解釋看“這里”）。

　　它是用來(lái)證明某某東西確實(shí)是某某東西的東西（是不是像繞口令？）。通俗地說(shuō)，證書(shū)就好比例子里面的公章。通過(guò)公章，可以證明該介紹信確實(shí)是對(duì)應(yīng)的公司發(fā)出的。

　　理論上，人人都可以找個(gè)證書(shū)工具，自己做一個(gè)證書(shū)。那如何防止壞人自己制作證書(shū)出來(lái)騙人捏？請(qǐng)看后續(xù) CA 的介紹。

　　◇ 什么是CA？

　　CA是Certificate Authority的縮寫(xiě)，也叫“證書(shū)授權(quán)中心”。（專業(yè)的解釋看“這里”）

　　它是負(fù)責(zé)管理和簽發(fā)證書(shū)的第三方機(jī)構(gòu)，就好比例子里面的中介——C 公司。一般來(lái)說(shuō)，CA必須是所有行業(yè)和所有公眾都信任的、認(rèn)可的。因此它必須具有足夠的權(quán)威性。就好比A、B兩公司都必須信任C公司，才會(huì)找 C 公司作為公章的中介。

　　◇ 什么是CA證書(shū)？

　　CA 證書(shū)，顧名思義，就是CA頒發(fā)的證書(shū)。

　　前面已經(jīng)說(shuō)了，人人都可以找工具制作證書(shū)。但是你一個(gè)小破孩制作出來(lái)的證書(shū)是沒(méi)啥用處的。因?yàn)槟悴皇菣?quán)威的CA機(jī)關(guān)，你自己搞的證書(shū)不具有權(quán)威性。

　　這就好比上述的例子里，某個(gè)壞人自己刻了一個(gè)公章，蓋到介紹信上。但是別人一看，不是受信任的中介公司的公章，就不予理睬。壞蛋的陰謀就不能得逞啦。

　　文本后續(xù)提及的證書(shū)，若無(wú)特殊說(shuō)明，均指 CA 證書(shū)。

　　◇ 什么是證書(shū)之間的信任關(guān)系？

　　在俺的例子里談到，引入中介后，業(yè)務(wù)員要同時(shí)帶兩個(gè)介紹信。第一個(gè)介紹信包含了兩個(gè)公章，并注明，公章C信任公章A。證書(shū)間的信任關(guān)系，就和這個(gè)類似。就是用一個(gè)證書(shū)來(lái)證明另一個(gè)證書(shū)是真實(shí)可信滴。

　　◇ 什么是證書(shū)信任鏈？

　　實(shí)際上，證書(shū)之間的信任關(guān)系，是可以嵌套的。比如，C 信任 A1，A1 信任 A2，A2 信任 A3......這個(gè)叫做證書(shū)的信任鏈。只要你信任鏈上的頭一個(gè)證書(shū)，那后續(xù)的證書(shū)，都是可以信任滴。

　　◇ 什么是根證書(shū)？

　　“根證書(shū)”的洋文叫“root certificate”，專業(yè)的解釋看“這里”。為了說(shuō)清楚根證書(shū)是咋回事，再來(lái)看個(gè)稍微復(fù)雜點(diǎn)的例子。

　　假設(shè) C 證書(shū)信任 A 和 B；然后 A 信任 A1 和 A2；B 信任 B1 和 B2。則它們之間，構(gòu)成如下的一個(gè)樹(shù)形關(guān)系（一個(gè)倒立的樹(shù)）。

　　處于最頂上的樹(shù)根位置的那個(gè)證書(shū)，就是“根證書(shū)”。除了根證書(shū)，其它證書(shū)都要依靠上一級(jí)的證書(shū)，來(lái)證明自己。那誰(shuí)來(lái)證明“根證書(shū)”可靠捏？實(shí)際上，根證書(shū)自己證明自己是可靠滴（或者換句話說(shuō)，根證書(shū)是不需要被證明滴）。

　　聰明的同學(xué)此刻應(yīng)該意識(shí)到了：根證書(shū)是整個(gè)證書(shū)體系安全的根本。所以，如果某個(gè)證書(shū)體系中，根證書(shū)出了問(wèn)題（不再可信了），那么所有被根證書(shū)所信任的其它證書(shū)，也就不再可信了。這個(gè)后果是相當(dāng)相當(dāng)?shù)螄?yán)重（簡(jiǎn)直可以說(shuō)是災(zāi)難性的），具體在下一個(gè)帖子里介紹。

　　★ 證書(shū)有啥用？

　　CA 證書(shū)的作用有很多，俺為了節(jié)省口水，只列出常用的幾個(gè)。

　　◇ 驗(yàn)證網(wǎng)站是否可信（針對(duì)HTTPS）

　　通常，我們?nèi)绻L問(wèn)某些敏感的網(wǎng)頁(yè)（比如用戶登錄的頁(yè)面），其協(xié)議都會(huì)使用 HTTPS 而不是 HTTP。因?yàn)?HTTP 協(xié)議是明文的，一旦有壞人在偷窺你的網(wǎng)絡(luò)通訊，他/她就可以看到網(wǎng)絡(luò)通訊的內(nèi)容（比如你的密碼、銀行帳號(hào)、等）；而 HTTPS 是加密的協(xié)議，可以保證你的傳輸過(guò)程中，壞蛋無(wú)法偷窺。

　　但是，千萬(wàn)不要以為，HTTPS 協(xié)議有了加密，就可高枕無(wú)憂了。俺再舉一個(gè)例子來(lái)說(shuō)明，光有加密是不夠滴。假設(shè)有一個(gè)壞人，搞了一個(gè)假的網(wǎng)銀的站點(diǎn)，然后誘騙你上這個(gè)站點(diǎn)。假設(shè)你又比較單純，一不留神，就把你的帳號(hào)，口令都輸入進(jìn)去了。那這個(gè)壞蛋的陰謀就得逞鳥(niǎo)。

　　為了防止壞人這么干，HTTPS 協(xié)議除了有加密的機(jī)制，還有一套證書(shū)的機(jī)制。通過(guò)證書(shū)來(lái)確保，某個(gè)站點(diǎn)確實(shí)就是某個(gè)站點(diǎn)。

　　有了證書(shū)之后，當(dāng)你的瀏覽器在訪問(wèn)某個(gè) HTTPS 網(wǎng)站時(shí)，會(huì)驗(yàn)證該站點(diǎn)上的 CA 證書(shū)（類似于驗(yàn)證介紹信的公章）。如果瀏覽器發(fā)現(xiàn)該證書(shū)沒(méi)有問(wèn)題（證書(shū)被某個(gè)根證書(shū)信任、證書(shū)上綁定的域名和該網(wǎng)站的域名一致、證書(shū)沒(méi)有過(guò)期），那么頁(yè)面就直接打開(kāi)；否則的話，瀏覽器會(huì)給出一個(gè)警告，告訴你該網(wǎng)站的證書(shū)存在某某問(wèn)題，是否繼續(xù)訪問(wèn)該站點(diǎn)？為了形象起見(jiàn)，下面給出 IE 和 Firefox 的抓圖：

　　大多數(shù)知名的網(wǎng)站，如果用了 HTTPS 協(xié)議，其證書(shū)都是可信的（也就不會(huì)出現(xiàn)上述警告）。所以，今后你如果上某個(gè)知名網(wǎng)站，發(fā)現(xiàn)瀏覽器跳出上述警告，你就要小心啦！

　　◇ 驗(yàn)證某文件是否可信（是否被篡改）

　　證書(shū)除了可以用來(lái)驗(yàn)證某個(gè)網(wǎng)站，還可以用來(lái)驗(yàn)證某個(gè)文件是否被篡改。具體是通過(guò)證書(shū)來(lái)制作文件的數(shù)字簽名。制作數(shù)字簽名的過(guò)程太專業(yè)，咱就不說(shuō)了。后面專門(mén)告訴大家如何驗(yàn)證文件的數(shù)字簽名。考慮到大多數(shù)人用 Windows 系統(tǒng)，俺就拿 Windows 的例子來(lái)說(shuō)事兒。

　　比如，俺手頭有一個(gè) Firefox 的安裝文件（帶有數(shù)字簽名）。當(dāng)俺查看該文件的屬性，會(huì)看到如下的界面。眼神好的同學(xué)，會(huì)注意到到上面有個(gè)“數(shù)字簽名”的標(biāo)簽頁(yè)。如果沒(méi)有出現(xiàn)這個(gè)標(biāo)簽頁(yè)，就說(shuō)明該文件沒(méi)有附帶數(shù)字簽名。

　　選擇該標(biāo)簽頁(yè)，看到如下界面。

　　順便說(shuō)一下，某些數(shù)字簽名中沒(méi)有包含“郵件地址”，那么這一項(xiàng)會(huì)顯示“不可用”；同樣的，某些數(shù)字簽名沒(méi)有包含“時(shí)間戳”，也會(huì)顯示“不可用”。不要緊張，這里顯示的“不可用”跟數(shù)字簽名的有效性沒(méi)關(guān)系。

　　一般來(lái)說(shuō)，簽名列表中，有且僅有一個(gè)簽名。選中它，點(diǎn)“詳細(xì)信息”按鈕。跳出如下界面：

　　通常這個(gè)界面會(huì)顯示一行字：“該數(shù)字簽名正常”（圖中紅圈標(biāo)出）。如果有這行字，就說(shuō)明該文件從出廠到你手里，中途沒(méi)有被篡改過(guò)（是原裝滴、是純潔滴）。

　　如果該文件被篡改過(guò)了（比如，感染了病毒、被注入木馬），那么對(duì)話框會(huì)出現(xiàn)一個(gè)警告提示“該數(shù)字簽名無(wú)效”（圖中紅圈標(biāo)出）。界面如下：

　　不論簽名是否正常，你都可以點(diǎn)“查看證書(shū)”按鈕。這時(shí)候，會(huì)跳出證書(shū)的對(duì)話框。如下：

?

　　從后一個(gè)界面，可以看到俺剛才說(shuō)的證書(shū)信任鏈。圖中的信任鏈有3層：

　　第1層是根證書(shū)（Thawte Premium Server CA）。

　　第2層是 Thawte 專門(mén)用來(lái)簽名的證書(shū)。

　　第3層是 Mozilla 自己的證書(shū)。?

　　目前大多數(shù)知名的公司（或組織機(jī)構(gòu)），其發(fā)布的可執(zhí)行文件（比如軟件安裝包、驅(qū)動(dòng)程序、安全補(bǔ)丁），都帶有數(shù)字簽名。你可以自己去看一下。

　　建議大伙兒在安裝軟件之前，都先看看是否有數(shù)字簽名？如果有，就按照上述步驟驗(yàn)證一把。一旦數(shù)字簽名是壞的，那可千萬(wàn)別裝。