HTTPS信任链查询

Question

• 我有服务器证书，可以说A。
• 由中间CA B签名。
• 中间CA B证书由根CA C签名。

我的查询是

1. B和C证书都应同时出现在最终主机上吗？
2. 如果仅存在B，则HTTPS事务有效吗？
3. 如果仅存在c，HTTPS事务是否可以工作？
4. 如果对于2和3为是，它将用于验证的逻辑是什么？

谢谢你。

Answer 1

1. 如果用“出现在最终主机上”，则意味着应该为Web服务器配置这些证书，然后答案为“否”。仅应将其配置为A和B。返回C毫无意义，因为已经需要成为证书信任的客户端，因此如果字节重新发送它是浪费的。不过，除此之外，它不会阻止HTTPS连接的建立。但还是错了，所以不要这样做。

2. 我假设您的意思是是否仅存在A和B？这是配置它的正确方法，然后HTTPS将起作用。客户将看到到B的A链，然后可以看到B由C发行（它应该已经安装），因此可以将信任链建立回它知道并信任的证书（C）。

3. 再次假设您是指A和C？该[[应该]]失败，但是由于以下两个原因之一，它通常不会失败：第一浏览器缓存中间证书，因此，如果您访问另一个也使用B颁发的证书的站点，则它可能会起作用。但这是断断续续的。其次，每个证书在AIA或Authority Information Access字段中都具有有关颁发者的信息。这使浏览器可以与证书颁发机构（CA）联系，并请求丢失的证书B，以便可以建立信任关系更改。但是，这两种方法都不可靠，因此不应依赖。并非每个浏览器都使用AIA（Firefox不这样做），并且很少有非浏览器通过它们进行连接会失败。配置您的Web服务器以返回A和B。

4. 此信息包含在答案2和3中。