终端用户的SSL证书只是证书链的一部分。
让我们花几分钟时间来认识中间证书和根证书。SSL(或者更准确地说是TLS)是一项大多数终端用户所知甚少或一无所知的技术。即使获得了SSL证书的人通常也只知道他们需要SSL证书，他们必须在服务器上安装SSL证书，才能通过HTTPS为网站提供服务。当提到中间证书和CAs、根证书和CAs时，大多数人的眼睛开始呆滞。
什么是证书链?
在进一步讨论之前，我们需要引入证书链的概念。问一个问题:你的浏览器如何知道它是否应该信任网站的SSL证书?可信根的任何下级证书都是可信的。这在技术层面是如何工作的?
当您访问网站时，浏览器将检查其SSL证书，并快速验证证书的真实性。浏览器检查证书的有效期，确保证书未被撤销，并验证证书的数字签名。
浏览器遵循证书链来验证证书。要获得已颁发的SSL证书，您必须首先生成证书签名请求(CSR)和私钥。在最简单的迭代中，您将CSR发送到证书颁发机构，然后证书颁发机构使用来自其根的私钥签署SSL证书，并将其发回。
现在，当浏览器看到SSL证书时，它将看到证书是由根存储中的受信任根颁发的(或者更准确地说，是用根的私钥签名的)。因为它信任根，所以它信任由根签名的任何证书。为了让您更容易理解，我们简化了上述内容，并将服务器证书直接链接到根目录。现在添加中间证书。
什么是中间证书?
证书颁发机构不会直接从其根证书颁发服务器/叶子证书(最终用户SSL证书)。这些根证书太有价值，不能直接颁发。
因此，为了保护根证书，CAs通常会发布所谓的中间根。CA使用其私钥对中间根进行签名，使其可信。然后，证书颁发机构使用中间证书的私钥来签署和颁发终端用户SSL证书。这个过程可以执行多次，一个中间根对另一个中间根进行签名，然后CA使用该根对证书进行签名。这些链接，从根到中间到叶子，都是证书链。以下是证书链的可视图表。为了便于理解和简化复杂的过程，我们只在证书链中添加一个中间证书。实际的证书链通常要复杂得多。
您可能会注意到，当证书颁发机构颁发SSL证书时，它还会发送一个需要安装的中间证书。这样，浏览器可以完成证书链，并将服务器上的SSL证书链接回它的一个根。浏览器和操作系统以不同的方式处理不完整的链。有些只会在中间证书丢失时发出问题和报告错误，而另一些则会保存和缓存中间证书，以备将来使用。
数字签名的功能是什么?
数字签名有点像数字形式的公证。当根证书对中间证书进行数字签名时，它实际上是将部分信任转移到中间证书。因为签名直接来自可信根证书的私钥，所以它是自动可信的。
每当向浏览器或设备提供SSL证书时，它都会接收证书和与证书相关联的公钥。它用公钥验证数字签名，并检查是谁生成的(即哪个证书签名)。你现在可以开始把这些拼在一起了。当您的浏览器验证网站上的最终用户SSL证书时，它会使用提供的公钥来验证签名，并在证书链中上移一个链接。重复此过程:验证签名并跟踪签名证书链，直到它最终到达浏览器信任存储中的根证书。如果它无法将证书链接回其受信任的根，它将不会信任该证书。
根CA和中间CA区别
这其实很简单。Root CA(根CA)是拥有一个或多个可信根的证书颁发机构。这意味着它们植根于主流浏览器的信任存储中。中间CAs或子CAs是由中间根发出的证书颁发机构。它们在浏览器的信任存储中没有根，它们的中间根将链接回受信任的第三方根。这有时被称为交叉签名。
正如我们前面所讨论的，证书颁发机构不会直接从它们的根颁发证书。他们通过颁发中间证书和使用中间证书签署证书来提高根证书的安全性。这有助于在误发或安全事件中最小化和划分损害。当安全事件发生时，不需要撤销根证书，只需要撤销中间证书，因此从中间证书颁发的证书组不可信。下面是一个实际的例子。谷歌和其他浏览器最近不信任Symantec CA品牌的SSL证书。乍一看，这似乎是一项困难的任务，因为终端用户有数百万个不受信任的SSL证书。事实上，这很简单。他们只需要从受信任的根存储中删除Symantec CA的所有根。任何应该链接回这些根的证书都将失败，并且不被信任。
我们刚刚描述了根和中间体，涉及到证书颁发机构、证书链和加密签名的信任模型，这基本上归结为一个词:PKI或公钥基础设施。到目前为止，小编一直避免过多使用这个术语。除非你深入了解一些细节，否则它看起来非常抽象。
