证书颁发机构

本文约需 2 分钟阅读

认证机构 (CA: Certificate Authority) 是指发行和管理数字证书的受信任第三方机构。它为网站发行 SSL/TLS 证书，保证该网站由正当的运营者运营。浏览器地址栏中显示的锁形图标，表示通信的安全性由认证机构发行的证书所保障。截至 2024 年，Let's Encrypt 在全球管理着 3 亿以上的活跃证书，HTTPS 的普及率超过了 95%。

证书有效期与自动更新的陷阱

认证机构颁发的证书都有有效期，一旦过期，浏览器会显示警告并拒绝连接，整个网站实际上等同于停止服务。近年来，像 Let's Encrypt 这样可以自动化签发和更新的认证机构已经普及，但自动更新可能因配置不当或环境变化而悄无声息地失败，在无人察觉的情况下迎来到期日是最典型的事故形态。因此在运维上，不能自动化了事，还需要监控更新是否成功，并设计好在失败时向负责人发送通知的机制。

证书发行流程

历史背景

认证机构的机制是在 1990 年代中期 Netscape 开发 SSL 时确立的。最初由 VeriSign 等少数商用认证机构垄断市场，获取证书每年需要花费数万日元。2015 年非营利组织 ISRG 推出 Let's Encrypt 后，免费的 DV 证书得以普及，HTTPS 的引入率从 2015 年的约 40% 急速上升至 2024 年的 95% 以上。在 2011 年的 DigiNotar 事件中，认证机构被黑客入侵并发行了伪造证书，凸显了认证机构信任模型本身的脆弱性。

认证机构的作用

认证机构核实申请者的身份，并发行将公钥与所有者信息相结合的数字证书。证书分为 DV (域名验证)、OV (组织验证)、EV (扩展验证) 三个等级，EV 证书需经过最严格的审查后发行。

与钓鱼防范的关联

一个常见的误解是“只要显示了锁形图标，网站就是安全的”。实际上，即使是钓鱼网站也能轻易获取 DV 证书，因此仅凭锁形图标无法判断安全性。登录时请养成仔细确认 URL 域名的习惯。在输入密码之前，确认所访问的是正规网站非常重要。