CA

CA（证书颁发机构）是签发数字证书的可信第三方，将公钥与身份绑定，是 PKI 的信任根。

用途

为公钥与身份提供可信第三方担保，使陌生通信方能建立信任。

机制

CA 验证申请者身份（DV/OV/EV 不同级别），用其私钥签名证书。根 CA 自签名且预置于操作系统/浏览器信任库。中间 CA 由根 CA 签名。CA 被入侵可签发伪证书（如 DigiNotar 事件），故需严格审计。

用例

TLS 证书签发
代码签名证书
S/MIME 邮件证书
企业内部 PKI

示例

输入

CSR + identity verification

输出

CA-signed certificate

DV/OV/EV

常见错误

Trusting all issuances from a compromised CA: Monitor CT logs and remove the problematic CA promptly

相关词条

X.509 Certificate

X.509 证书绑定公钥与身份，由 CA 签名验证，含有效期、颁发者、主体与扩展字段。

PKI（公钥基础设施）是管理数字证书与公钥的体系，含 CA、注册机构、证书库与撤销机制，支撑 TLS 与签名。

TLS（传输层安全）协议在传输层提供加密、完整性与认证，取代 SSL，是 HTTPS、SMTPS 等的安全基础。

零信任是"永不信任，始终验证"的安全模型，不因在网络内部而信任，每次访问都验证身份与授权。

参考链接