证书问题

Question

为什么服务端会发中间证书和根证书呢

Answer 1

马里布 2022-11-04 23:18:17

根证书和中间证书是可选发送的，但是如果客户端（证书管理器）没有缓存记录这个中间证书，或者出现了根证书更新，或者交叉信任等等，那么末端的服务器身份校验链就会因为缺失父级而断掉了，为了能让更多的客户端可以无障碍的建立信任关系，所以服务端通常会冗余发送中间证书，甚至根证书。

• 提问者 qq_葙潒赱_0 #1

  如果根证书也是服务端下发的话，这个根证书的可靠性如何保证呢？

• 马里布 回复 提问者 qq_葙潒赱_0 #2

  TLS协议规定了服务端必须发送证书链，在这个证书链中可发送根证书或者不发送，但通常都会包含服务端自己的证书以及中间证书，少量服务端会配置为从自己证书到中间证书到根证书的完整证书链，但这种做法通常没有实际意义，因为客户端只信任自己ca库中的根证书，这些情况可能在某些自签名的根证书环境中有实际意义。并且赛门铁克曾经说过，不建议服务端发送根证书，因为可以为每个请求节约大概1KB的流量。

• 马里布 回复 提问者 qq_葙潒赱_0 #3

  可以参考
  https://datatracker.ietf.org/doc/html/rfc5246#section-7.4.2 certificate_list