SSL預(yù)證書(shū)是什么？

預(yù)驗(yàn)證是用作證書(shū)透明度（CT）一部分的特殊類(lèi)型的SSL證書(shū)。 預(yù)先證書(shū)與常規(guī)SSL證書(shū)不同，因?yàn)樗鼈儾皇牵ㄒ膊豢梢裕┯糜隍?yàn)證服務(wù)器或形成經(jīng)過(guò)身份驗(yàn)證的連接（例如HTTPS連接）。它們的唯一目的是允許證明證書(shū)已被記錄以直接嵌入到證書(shū)中。顧名思義，預(yù)認(rèn)證出現(xiàn)在正式證書(shū)之前。而預(yù)證書(shū)幾乎很少暴露給最終用戶，也就是說(shuō)你可能收到了預(yù)證書(shū)但從不知道它的存在。

預(yù)證書(shū)在證書(shū)透明度RFC中定義。本文將用簡(jiǎn)單的語(yǔ)言解釋什么是預(yù)先證書(shū)，如何使用它們以及它們的工作機(jī)制。

為什么需要預(yù)證書(shū)？

預(yù)證書(shū)的存在是為了允許將證書(shū)透明度數(shù)據(jù)直接嵌入到最終證書(shū)中。

預(yù)驗(yàn)證是將證明提交到證書(shū)透明度日志（SCT）的證書(shū)的幾種方式之一。 預(yù)處理的優(yōu)點(diǎn)是允許將CT數(shù)據(jù)嵌入SSL證書(shū)本身，而不是作為單獨(dú)的數(shù)據(jù)提供（其他方法要求在握手期間將SCT作為單獨(dú)的文件發(fā)送，與OCSP Stapling類(lèi)似）。

CT日志需要能夠?yàn)樵撟C書(shū)的數(shù)據(jù)生成一個(gè)有效的簽名（SCT），但是CA還需要日志中的SCT才能創(chuàng)建最終的證書(shū)。 于是需要預(yù)證書(shū)來(lái)解決這個(gè)問(wèn)題，它允許日志生成正確的簽名，而不需要最終的證書(shū)。

以下是需要用到預(yù)證書(shū)的場(chǎng)景：

1.證書(shū)頒發(fā)機(jī)構(gòu)（CA）將向客戶簽名并頒發(fā)證書(shū)。他們需要使其符合瀏覽器的CT策略，因此他們需要將證書(shū)提交到CT Log。

2.CA對(duì)如何提供證書(shū)已被記錄的證據(jù)有不少選擇。如果他們想直接將該證明嵌入證書(shū)，他們將需要使用預(yù)認(rèn)證。

3.在CA簽署最終證書(shū)之前，他們首先創(chuàng)建一個(gè)預(yù)認(rèn)證，其中包含相同的數(shù)據(jù)，但格式化為特定方式，以使其不被視為有效的SSL證書(shū)。

4.CA將預(yù)認(rèn)證提交到CT日志并接收SCT（簽名證書(shū)時(shí)間戳）。這是一個(gè)由日志簽署的文件，可用于密碼證明客戶端證書(shū)已被記錄。

5.CA發(fā)布最終證書(shū)，SCT嵌入其中。

6.終端用戶可以部署他們的證書(shū)，并證明他們的證書(shū)中包含它們的CT合規(guī)性。這是包含SCT的最佳方式。

當(dāng)你搜索證書(shū)透明度日志時(shí)，可能會(huì)遇到預(yù)認(rèn)證，但不能檢查關(guān)聯(lián)的（有效的）證書(shū)。 這是因?yàn)镃A不需要將后續(xù)證書(shū)提交到日志。 即使預(yù)先認(rèn)證不被客戶視為有效，但是仍然保留相同的發(fā)行標(biāo)準(zhǔn)。 CT RFC規(guī)定，“預(yù)認(rèn)證的錯(cuò)誤被認(rèn)為等于最終證書(shū)的錯(cuò)誤”。

預(yù)證書(shū)如何運(yùn)作？

預(yù)證書(shū)不同于普通證書(shū)的點(diǎn)在于它使用X.509 v3格式的擴(kuò)展名的數(shù)據(jù)字段區(qū)。擴(kuò)展為X.509格式提供了靈活性，并允許采用新功能，而不需要新版本的格式。

預(yù)證書(shū)包含一個(gè)“有毒的擴(kuò)展”。是的你沒(méi)看錯(cuò)，這個(gè)擴(kuò)展有毒！之所以這么稱呼它是因?yàn)樵摂U(kuò)展十分關(guān)鍵還不支持客戶端。如果它沒(méi)有被正確解析，那么正式證書(shū)就要GG（被判無(wú)效）了。而當(dāng)客戶端遇上預(yù)認(rèn)證，十之八九都會(huì)把它認(rèn)作無(wú)效。“有毒”擴(kuò)展的存在可以說(shuō)是常規(guī)證書(shū)和預(yù)證書(shū)之間唯一的區(qū)別了。

毒性擴(kuò)展使用一種獨(dú)一無(wú)二的OID：1.3.6.1.4.1.11129.2.4.3。OID又稱對(duì)象標(biāo)識(shí)符，是分配給某些目的并用于提供計(jì)算機(jī)可解析格式的標(biāo)準(zhǔn)化字符串。例如，您可以查看該OID號(hào)碼，并看到它已被分配了以下目的：“證書(shū)透明度預(yù)認(rèn)證毒藥擴(kuò)展（poison extension）”。其他OID（如1.3.6.1.5.5.7.48.1）用于SSL證書(shū)中以指示該證書(shū)的OCSP URL。

舉個(gè)栗子，如果你在Windows中下載并打開(kāi)一個(gè)預(yù)認(rèn)證，它將看起來(lái)與常規(guī)SSL證書(shū)非常相似。 但是，在Windows“證書(shū)查看器”的“常規(guī)”窗格中，您將注意到它將顯示為“證書(shū)包含未標(biāo)識(shí)為”關(guān)鍵“的擴(kuò)展名。”在“詳細(xì)信息”中，您會(huì)看到底部附近列出的毒藥擴(kuò)展名（查找OID）。

因?yàn)檫@個(gè)擴(kuò)展是存在的，Windows將預(yù)認(rèn)證視為無(wú)效。 這樣可以防止在使用SSL證書(shū)的情況下使用SSL，例如在HTTPS連接中。 在macOS上，證書(shū)查看器會(huì)說(shuō)“不能使用此證書(shū)（無(wú)法識(shí)別的關(guān)鍵擴(kuò)展）”。

在證書(shū)透明度協(xié)議（仍在開(kāi)發(fā)中，RFC6962）的2.0版本中，預(yù)認(rèn)證的格式將從X.509更改為CMS（加密消息語(yǔ)法）。 這意味著預(yù)制證的技術(shù)格式和編碼將會(huì)大大改變，并且將不再是與常規(guī)SSL證書(shū)相同的格式。也就是說(shuō)，當(dāng)部署CT 2.0時(shí)將不會(huì)再有毒藥擴(kuò)展，因?yàn)椴恍枰獏^(qū)分預(yù)密碼和有效的X.509 SSL證書(shū)。

天下數(shù)據(jù)SSL證書(shū)服務(wù)上線，特推出折上折優(yōu)惠活動(dòng)：會(huì)員即可購(gòu)買(mǎi)可以享受最低優(yōu)惠價(jià)99元/年！

本文鏈接：http://m.51huadong.com/cloundnews/11004232.html