詳解HTTPS中數字證書驗證系統

關於瀏覽器驗證**數字證書的流程網上的資料一般講的都不是很清楚。在查閱了不少資料後終於搞清楚這部分。

ca下發給**的證書都是乙個證書鏈，也就是一層一層的證書，從根證書開始，到下級ca，一層一層，最後一層就是**證書。

瀏覽器收到伺服器傳送的證書後，需要驗證其真實性。而證書的簽名是通過簽名演算法和上級ca的私鑰生成的，並非很多文章裡簡單說的靠ca私鑰生成。瀏覽器需要用上級ca的公鑰才能解密簽名，並與生成的指紋對比，那麼問題來了，這個上級ca的公鑰從哪來呢？

答案是此公鑰來自於證書鏈該層的上級ca的證書明文內。單個x509v3證書由以下部分組成：

x.509v3證書由三部分組成：

tbscertificate又包含10項內容，在https握手過程中以明文方式傳輸：

證書鏈由多個證書一層一層組成的，除了最底層的**證書的公鑰是給使用者加密報文外，其他層證書中的公鑰均用於解密底層的證書指紋簽名。最高層的根證書是自簽名的，也就是自己頒發給自己，所以它的公鑰不僅用來解密下層的簽名，也用來給自己的簽名解密。

驗證證書是否真實的任務完成了，那麼證書是否可靠如何驗證呢？一句話，只要根證書可靠，整個證書鏈就可靠，而根證書是否可靠要看這個根證書是否在作業系統或瀏覽器內建的可信根證書內，在的話就可信。