终于有人把教育内卷讲明白了心得，终于有人把医保说清楚了

如何证明你访问的网站就是你想访问的网站？

例如，如果我想访问百度，在浏览器中输入www.baidu.com，浏览器显示百度首页，是否意味着我正在访问真正的百度网站？

当然，这不能仅凭你所看到的来证明。今天我们就一起来讨论一下这个问题。

01 PKI 系统PKI 入门PKI 是一种通用的安全基础设施，利用公钥理论和技术来实现和提供信息安全服务。

PKI可以通过一套安全策略实现保密性、完整性和有效性。

PKI系统主要由四部分组成：终端实体、证书注册机构、证书颁发机构、证书。

最终实体：PKI 的最终用户。指人、设备、过程等。证书注册机构(RA)：CA 的接口组织，在购买服务器证书时请求RA 操作。当然，您也可以将RA与CA集成。证书颁发机构：CA是PKI的核心组织，是权威的第三方，主要负责证书的颁发和管理以及CRL的颁发和管理。证书/CRL 存储库：用于存储证书和CRL。这里的重点是CA 组织。 CA 组织是值得信赖的组织。当CA 组织受到信任时，它颁发的证书也受到信任。

比如说日常生活中，身份证是用来证明我们身份的，而我们的身份证是公安局颁发的，我们看别人的身份证就可以证明他的身份，我可以。

在PKI系统中，CA对应公安局，RA对应可以申领身份证的派出所，证书对应身份证，终端实体对应身份证持有人。

02 PKI认证原理为了说明PKI系统的身份认证原理，我们以访问百度网站为例。

百度向证书提供者（RA、CA机构）提交CSR文件，CSR文件主要包含通用名称、组织名称、部门名称、国家、省份、城市、密钥算法、密钥长度、包含加密算法和公钥key.这些是用于生成证书的关键信息。同时，证书颁发机构必须验证申请人的身份。这意味着百度证书颁发机构不会向所有申请者颁发证书颁发机构。

CA机构主要通过两种方式对申请者进行身份验证：出示营业执照，以及通过域名解析判断申请证书的CN字段是否为自己的确认。

例如，如果百度申请的证书的CN字段是baidu.com，CA机构会要求您配置一个txt类型的测试域名。例如abc.baidu.com解析为指定信息。能够配置就意味着您是该域名的管理员。

申请人身份验证完成后，RA/CA组织利用申请人提交的CSR文件创建证书文件并发送给申请人，申请人将证书部署在服务器上。

注意，当用户通过浏览器访问www.baidu.com，且使用https协议时，服务器会将百度的证书发送给客户端，但http协议不会与证书文件进行交互，请注意。

服务器将证书发送给客户端。

客户端对证书进行认证认证步骤是关键用户可能知道也可能不知道如何通过证书验证对方的信息这是因为浏览器这样做是有原因的。

03 检查证书浏览器如何使用证书来验证对方的身份？

前面提到，证书是由CA组织颁发的，因此必须信任CA组织，才能信任CA组织颁发的证书。

那么您信任哪些CA 机构呢？浏览器有自己的受信任CA 机构列表。这包括主流的CA机构。申请证书的CA 机构通常受到浏览器的信任。

此时，您需要判断证书的真实性，即是否是由CA机构颁发的。

上图是baidu.com证书，其中有一个指纹字段，称为数字签名。该指纹是CA使用自己的私钥对证书中的所有字段进行加密而获得的信息，并添加到证书的末尾。

客户端获得该证书后，本地就拥有了CA证书，因为它已经是受信任的CA颁发的证书。然后使用CA 证书的公钥来解密指纹。解密后的数据如下所示：证书信息。这就证明这个证书是由CA机构颁发的。

为什么可以使用CA的公钥解密指纹并证明证书是CA颁发的？

由于非对称加密的特点，用私钥加密的数据只能用一组公钥来解密，但如果使用证书颁发机构的公钥解密数据，则指纹也必须经过证书颁发机构的加密。是。同时，私钥只能由你自己拥有，因此CA机构必须颁发这个证书。

04 网站身份验证。当然，仅仅证明这个证书是由受信任的CA机构颁发的是不够的。因为你也可以获得第三方的百度证书。您仍然需要检查证书是否归其合法所有者所有。

1).证书中有一个CN字段叫baidu.com，所以您访问的域名必须以baidu.com结尾。例如，如果支付宝网站部署在带有baidu.com证书的服务器上，用户很容易识别出自己的身份有问题，浏览器会报告该网站不可信。

仅使用域名进行身份验证并不完全安全，因为存在域名劫持的问题，因此我们设计了不同的方法。

2）当客户端浏览器和服务器通过https协议交互时，客户端验证证书的有效性，然后协商后续数据的加密密钥。在协商过程中，服务器必须使用私钥对数据进行加密。使用客户端服务器的公钥解密。如果解密成功，则服务器拥有私钥。同样，您的私钥始终掌握在您的手中。只有在这里你才能知道服务器的身份。它完成了。

接下来有同学问：“如果私钥被盗了怎么办？”到这里就可以得出结论了。如果私钥被盗，则意味着证书不再安全。证书拥有者必须到CA机构办理注销。证书证书以避免信息安全风险。 -结尾-

@IT Administration 专注于计算机领域技术、大学生活、学**方法、工作、职业规划、职场洞察等原创内容。我期待与您见面并共同成长。

文章推荐：

Wireshark 数据包分析实践：HTTPS 加密和解密过程为什么所有现代网站都是HTTPS？ENIGMA 是如何工作的？