数字签名与证书链验证

Tue, 04 Mar 2025 09:31:00 +0000

数字签名与证书链验证解析

核心能力维度：

技术评估点：

关键知识点：哈希算法 > 非对称加密 > X.509证书结构 > 信任链传递

原理剖析：

数字签名生成：
- 发送方使用SHA-256计算数据哈希值
- 用私钥加密哈希值生成数字签名
- 附加原始数据与签名形成完整消息
签名验证：
- 接收方分离原始数据和签名
- 使用发送方公钥解密签名得到哈希值A
- 重新计算原始数据哈希值得出哈希值B
- 对比哈希值A与B验证数据完整性
证书链验证：
```
graph LR
ServerCert -->|由| IntermediateCA
IntermediateCA -->|由| RootCA
RootCA -->|预置在| TrustStore
```
- 浏览器逐级验证证书签名有效性
- 检查证书有效期和域名匹配
- 确认根证书在可信存储库中
- 验证证书未被吊销（CRL/OCSP）

常见误区：

数字签名通过哈希算法保障数据完整性，私钥加密确保来源可信。发送方生成数据指纹并用私钥加密，接收方用公钥解密验证指纹匹配。浏览器验证证书时，从服务端证书开始，逐级验证签发机构签名，确认根证书预置于操作系统信任库，形成完整信任链。整个过程包含证书有效性、时效性、域名匹配性及吊销状态四重校验。

证书验证流程伪代码：

 function verifyCertificate(certChain) {
 // 从服务端证书开始逐级验证
 let currentCert = certChain[].publicKey)
 }
}

优化建议：