Skip to main content

证书链详解：理解SSL证书信任的完整路径

· 9 min read
OHTTPS

当您访问一个HTTPS网站时，浏览器如何验证证书的可信度？为什么有些网站显示"证书不受信任"的错误？这都与证书链（Certificate Chain）有关。证书链是SSL/TLS安全体系的核心，它建立了从服务器证书到根证书颁发机构的完整信任路径。本文将深入解析证书链的概念、组成结构、验证流程和常见问题，帮助您全面理解这一证书信任机制。

一、什么是证书链？​

证书链（Certificate Chain），也称为证书路径（Certificate Path），是从服务器证书到根CA证书的一系列证书，用于建立完整的信任关系。它类似于一个信任的链条，每一环都验证下一环的可信度，最终追溯到受信任的根证书颁发机构。

1. 证书链的基本概念​

在PKI（公钥基础设施）体系中，证书的信任是分层的：

根CA（Root CA）：最顶层的证书颁发机构，自签名证书，预装在操作系统和浏览器中。

中间CA（Intermediate CA）：由根CA签发的中间证书颁发机构，用于签发最终的用户证书。

服务器证书（End-Entity Certificate）：由中间CA或根CA签发的最终用户证书，安装在Web服务器上。

2. 为什么需要证书链？​

安全隔离：根CA的私钥非常敏感，如果直接用于签发用户证书，一旦泄露影响巨大。使用中间CA可以隔离风险。

灵活管理：不同的中间CA可以用于不同的用途或地区，便于管理和撤销。

符合标准：大多数CA都使用中间CA来签发证书，这是行业标准做法。

二、证书链的组成结构​

1. 完整证书链的组成​

一个完整的证书链通常包含以下部分：

服务器证书（Server Certificate）：

  • 由中间CA签发
  • 包含服务器的公钥和域名信息
  • 这是安装在Web服务器上的证书

中间CA证书（Intermediate CA Certificate）：

  • 由根CA签发
  • 用于签发服务器证书
  • 可能有一个或多个中间CA证书

根CA证书（Root CA Certificate）：

  • 自签名证书
  • 预装在操作系统和浏览器中
  • 是信任链的起点

2. 证书链示例​

根CA证书（Root CA）
    ↓
中间CA证书（Intermediate CA）
    ↓
服务器证书（Server Certificate）

实际示例（Let's Encrypt）：

DST Root CA X3 (根CA)
    ↓
Let's Encrypt Authority X3 (中间CA)
    ↓
example.com (服务器证书)

多级中间CA示例：

根CA证书
    ↓
中间CA 1
    ↓
中间CA 2
    ↓
服务器证书

三、证书链的验证流程​

1. 浏览器验证证书链的过程​

当客户端（浏览器）访问HTTPS网站时，证书链验证过程如下：

步骤1：接收服务器证书

  • 服务器在TLS握手时发送服务器证书
  • 可能同时发送中间CA证书

步骤2：构建证书链

  • 浏览器检查服务器证书的颁发者
  • 在本地信任存储中查找对应的中间CA证书
  • 如果服务器提供了中间CA证书，使用服务器提供的
  • 继续向上查找，直到找到根CA证书

步骤3：验证证书链

  • 验证每个证书的数字签名
  • 检查每个证书的有效期
  • 验证每个证书的用途（Key Usage和Extended Key Usage）
  • 检查证书是否被吊销

步骤4：验证根CA信任

  • 检查根CA证书是否在浏览器的信任存储中
  • 如果根CA不在信任存储中，证书验证失败

步骤5：验证域名匹配

  • 检查服务器证书中的域名是否与访问的域名匹配
  • 支持通配符和SAN扩展

2. 证书链验证的关键点​

数字签名验证：

  • 每个证书都由上一级CA使用私钥签名
  • 使用上一级CA的公钥验证签名
  • 如果签名验证失败，证书链验证失败

有效期检查：

  • 每个证书都必须在有效期内
  • 如果任何一级证书过期，整个证书链无效

用途验证：

  • 检查证书的Key Usage和Extended Key Usage
  • 确保证书可以用于TLS服务器认证

吊销检查：

  • 通过OCSP或CRL检查证书是否被吊销
  • 如果任何一级证书被吊销，证书链验证失败

四、证书链的常见问题​

1. 证书链不完整​

问题描述：

  • 浏览器显示"证书不受信任"或"NET::ERR_CERT_AUTHORITY_INVALID"错误
  • 服务器只发送了服务器证书，没有发送中间CA证书

原因：

  • 服务器配置不完整，没有包含中间CA证书
  • 浏览器无法找到中间CA证书来构建完整的证书链

解决方法：

  • 配置服务器发送完整的证书链
  • 对于Nginx，使用ssl_certificate指向包含完整链的证书文件
  • 对于Apache，使用SSLCertificateFile和SSLCertificateChainFile

2. 中间证书缺失​

问题描述：

  • 某些浏览器可以正常访问，某些浏览器显示错误
  • 移动设备上可能显示证书错误

原因：

  • 不同浏览器的信任存储可能不同
  • 某些浏览器可能没有预装某些中间CA证书

解决方法：

  • 确保服务器发送完整的证书链，包括所有中间CA证书
  • 使用在线工具检查证书链是否完整

3. 根证书不受信任​

问题描述：

  • 所有浏览器都显示证书不受信任
  • 证书链验证到根CA时失败

原因：

  • 根CA证书不在浏览器的信任存储中
  • 使用了自签名证书或不受信任的CA

解决方法：

  • 使用受信任的CA签发的证书
  • 如果是自签名证书，需要手动安装根证书到系统信任存储

4. 证书链顺序错误​

问题描述：

  • 证书链验证失败
  • 证书文件中的证书顺序不正确

原因：

  • 证书链中的证书顺序应该是：服务器证书 → 中间CA证书 → 根CA证书
  • 如果顺序错误，可能导致验证失败

解决方法：

  • 确保证书文件中的证书顺序正确
  • 通常不需要包含根CA证书（浏览器已有）

五、如何配置完整的证书链​

1. Nginx配置​

完整证书链文件：

server {
    listen 443 ssl;
    server_name example.com;
    
    # 证书文件应包含：服务器证书 + 中间CA证书
    ssl_certificate /path/to/fullchain.pem;
    ssl_certificate_key /path/to/privkey.pem;
    
    # 其他SSL配置...
}

证书文件格式：

-----BEGIN CERTIFICATE-----
[服务器证书内容]
-----END CERTIFICATE-----
-----BEGIN CERTIFICATE-----
[中间CA证书内容]
-----END CERTIFICATE-----

2. Apache配置​

使用SSLCertificateChainFile：

<VirtualHost *:443>
    ServerName example.com
    SSLEngine on
    
    # 服务器证书
    SSLCertificateFile /path/to/cert.pem
    # 私钥
    SSLCertificateKeyFile /path/to/privkey.pem
    # 中间CA证书链
    SSLCertificateChainFile /path/to/chain.pem
</VirtualHost>

或使用包含完整链的证书文件：

<VirtualHost *:443>
    ServerName example.com
    SSLEngine on
    
    # 包含完整链的证书文件
    SSLCertificateFile /path/to/fullchain.pem
    SSLCertificateKeyFile /path/to/privkey.pem
</VirtualHost>

3. 其他服务器配置​

IIS：

  • 在证书管理器中导入证书时，确保导入完整的证书链
  • 包括服务器证书和所有中间CA证书

Tomcat：

  • 在keystore中导入服务器证书和中间CA证书
  • 确保证书链完整

六、如何检查证书链​

1. 在线工具检查​

SSL Labs SSL Test：

Certificate Chain Checker：

  • 使用在线证书链检查工具
  • 验证证书链的完整性

2. 命令行检查​

使用OpenSSL：

# 查看证书信息
openssl x509 -in cert.pem -text -noout

# 验证证书链
openssl verify -CAfile chain.pem cert.pem

# 查看证书链
openssl s_client -connect example.com:443 -showcerts

使用curl：

# 查看证书链
curl -vI https://example.com 2>&1 | grep -i "certificate chain"

3. 浏览器检查​

Chrome/Edge：

  1. 点击地址栏的锁图标
  2. 点击"证书"
  3. 查看"证书路径"标签页
  4. 检查证书链是否完整

Firefox：

  1. 点击地址栏的锁图标
  2. 点击"连接安全" → "更多信息"
  3. 点击"查看证书"
  4. 查看证书层次结构

七、证书链最佳实践​

1. 服务器配置​

  • ✅ 始终配置完整的证书链
  • ✅ 使用包含服务器证书和中间CA证书的完整链文件
  • ✅ 定期检查证书链是否完整
  • ✅ 测试不同浏览器和设备上的证书链验证

2. 证书管理​

  • ✅ 保存完整的证书链文件
  • ✅ 确保证书链文件中的证书顺序正确
  • ✅ 更新证书时同时更新证书链
  • ✅ 备份证书链文件

3. 监控和测试​

  • ✅ 使用SSL测试工具定期检查证书链
  • ✅ 监控证书到期时间
  • ✅ 测试证书链在不同环境下的验证情况
  • ✅ 设置证书到期提醒

总结​

证书链是SSL/TLS安全体系的核心，它建立了从服务器证书到根CA的完整信任路径。理解证书链的概念、组成结构和验证流程，对于正确配置和管理SSL证书至关重要。

证书链不完整是导致"证书不受信任"错误的主要原因之一。通过正确配置服务器发送完整的证书链，可以解决大多数证书链相关问题。定期检查证书链的完整性，使用SSL测试工具验证配置，是保障网站安全的重要步骤。

无论您使用哪种Web服务器，都要确保配置了完整的证书链。只有这样，才能确保所有用户都能正常访问您的HTTPS网站，建立完整的信任关系。

OHTTPS: 免费HTTPS证书/SSL证书申请 • 自动化更新、部署、监控
OHTTPS 支持通过多种域名验证方式(DNS验证、HTTP验证、文件验证等)申请免费的HTTPS证书/SSL证书，包括单域名证书、多域名证书、通配符证书、IP证书等，支持HTTPS证书/SSL证书的自动化更新、自动化部署、自动化监控及告警等，并支持将HTTPS证书/SSL证书自动化部署至阿里云、腾讯云、群晖NAS、百度云、七牛云、多吉云、又拍云、宝塔面板、Docker容器、SSH等，实现HTTPS证书/SSL证书的一站式申请、更新、部署、监控和管理。