ssl - 这些证书是什么以及它们来自哪里？

Question

我们部署了一个使用 HTTPS 的 Azure Web 角色。我们将证书上传到 azure，门户刷新后不久，就会出现另外两个证书。这不是狂野的购物车证书，也许这是标准行为，但我以前没有见过。

原始证书的命名类似于:

子域名.domain.com

出现的三个证书的名称如下:

VeriSign 3 级公共(public)主要证书颁发机构 - G5

3 级公共(public)主要认证机构

VeriSign 3 级国际服务器 CA - G3

我提到的 3 个证书是否正常生成，或者这是我应该调查的问题吗？

我们有一个类似的部署，它具有 ssl，但不会生成这些额外的证书。这引发了我们的担忧，并让我问为什么......？

Answer 1

当您在任何 Web 应用程序中启用 HTTPS 端点并将 SSL 证书绑定(bind)到它时，绑定(bind)到 HTTPS 端点的证书可以是单个证书，也可以是一个链， 这取决于以下几个因素:

1. 当证书作为自签名 ROOT 创建时，链中将只有一个证书。无法验证此证书是否具有 SSL 隧道，因为没有其他部分来验证它，这就是为什么它被称为自签名根

2. 当您从知名 CA(证书颁发机构)购买证书时，几乎在所有情况下您都会获得 3 个(或更多)证书:

   2.1。根证书:此证书有助于使用 PKI 安全基础设施在两台计算机之间创建 SSL 隧道。

   2.2。中级证书 -> 这是根据需要创建具有多个证书的链

   2.3。域证书 -> 这是您的 *.domainname.com 或 domainname.com

以下是 https://mail.google.com 处的链接 SSL 证书示例

所有这些证书都链接到一个 PFX(如果私钥嵌入到证书中)或 CER(没有任何私钥)中，因此当您仅部署一个 PFX 证书时，您会看到该链处于打开状态并且列出了所有证书.

如果您浏览 URL 并通过浏览器打开证书 View ，您将看到与在门户中看到的完全相同的链，并且您还可以验证证书指纹以进行匹配。