1樓：Yang Ray
被各種型別的證書搞了很久，直到今天都沒有搞明白的嘗試來說一下吧。
圖上就一共三步。
第一步：Trusted CA向vendor廠商提供CA根證書。
第二步：Trusted CA給site提供站證書。
第三步：vendor廠商的瀏覽器在用https訪問的時候會檢查站證書的合法性。
例如chrome裡面，https訪問google的時候，位址列的前面的小鎖會是綠色的。因為GeoTrust是google site的根證書擁有者，而這個是被99%以上的瀏覽器信任的。而12306是紅得，因為他的CA是乙個叫SRCA，這個CA沒啥人相信。
2樓：
你看，百科上就有的問題啊，能機器上找到答案呢！
①客戶端的瀏覽器向伺服器傳送客戶端SSL 協議的版本號，加密演算法的種類，產生的隨機數，以及其他伺服器和客戶端之間通訊所需要的各種資訊。
②伺服器向客戶端傳送SSL 協議的版本號，加密演算法的種類，隨機數以及其他相關資訊，同時伺服器還將向客戶端傳送自己的證書。
③客戶利用伺服器傳過來的資訊驗證伺服器的合法性，伺服器的合法性包括：證書是否過期，發行伺服器證書的CA 是否可靠，發行者證書的公鑰能否正確解開伺服器證書的「發行者的數字簽名」，伺服器證書上的網域名稱是否和伺服器的實際網域名稱相匹配。如果合法性驗證沒有通過，通訊將斷開；如果合法性驗證通過，將繼續進行第四步。
④使用者端隨機產生乙個用於後面通訊的「對稱密碼」，然後用伺服器的公鑰（伺服器的公鑰從步驟②中的伺服器的證書中獲得）對其加密，然後將加密後的「預主密碼」傳給伺服器。
⑤如果伺服器要求客戶的身份認證（在握手過程中為可選），使用者可以建立乙個隨機數然後對其進行資料簽名，將這個含有簽名的隨機數和客戶自己的證書以及加密過的「預主密碼」一起傳給伺服器。
⑥如果伺服器要求客戶的身份認證，伺服器必須檢驗客戶證書和簽名隨機數的合法性，具體的合法性驗證過程包括：客戶的證書使用日期是否有效，為客戶提供證書的CA 是否可靠，發行CA 的公鑰能否正確解開客戶證書的發行CA 的數字簽名，檢查客戶的證書是否在證書廢止列表（CRL）中。檢驗如果沒有通過，通訊立刻中斷；如果驗證通過，伺服器將用自己的私鑰解開加密的「預主密碼」，然後執行一系列步驟來產生主通訊密碼（客戶端也將通過同樣的方法產生相同的主通訊密碼）。
⑦伺服器和客戶端用相同的主密碼即「通話密碼」，乙個對稱金鑰用於SSL 協議的安全資料通訊的加解密通訊。同時在SSL 通訊過程中還要完成資料通訊的完整性，防止資料通訊中的任何變化。
⑧客戶端向伺服器端發出資訊，指明後面的資料通訊將使用的步驟⑦中的主密碼為對稱金鑰，同時通知伺服器客戶端的握手過程結束。
⑨伺服器向客戶端發出資訊，指明後面的資料通訊將使用的步驟⑦中的主密碼為對稱金鑰，同時通知客戶端伺服器端的握手過程結束。
⑩SSL 的握手部分結束，SSL 安全通道的資料通訊開始，客戶和伺服器開始使用相同的對稱金鑰進行資料通訊，同時進行通訊完整性的檢驗。
HTTPS連線中最開始是怎麼驗證CA證書的啊，這又涉及到如何在伺服器上面配置HTTPS server？
秋聲賦 如何配置乙個HTTP站點 總體來說分以下幾步，配置過程都是在Http伺服器中的站點配置檔案中，以下是針對Nginx的說明，修改的配置檔案，應該是在 etc nginx conf.d 路徑下的conf檔案。開啟443埠，比如原本在 Nginx 中對外開放的是80埠。現在改為監聽443埠。增加配...
CA機構的根證書 root certificate 是由誰簽發的
上海哲信資訊科技有限公司 就像圓桌會議一下，大家商討出來的結果，並且得到了這個圓桌所有與會者的認可，然後就可以做自簽名根證書，並內建到行業中的作業系統 軟體 平台等等。如果發生併購，比如DigiCert併購Symantec數字證書業務 DigiCert完成對Symantec的資產處理以及新的驗證流程...
SSL自製證書 免費CA證書和付費CA證書的區別？
Gworg 請先給出明確答覆 產品的價值 保障 服務 高規格產品是收費依據。收費SSL證書 擁有企業商業級SSL證書 SSL證書擁有安全保險 簽發機構預設計算機根信任 較高標準全新的加密產品 更嚴格的實名認證體系管理 強大的一體化安全檢測服務 SSL證書簽發徽章表明展現認證 穩定產品生命線的維護與管...