什么是数字证书

　　由于公开密钥加密的公开密钥和数字签名的秘密密钥无法提供创建者的信息，所以使用数字证书解决这一问题。数字证书提供了公开密钥和秘密密钥创建者的信息。
　　我们来看看数字证书的工作流程（机制）。A创建了一个公开密钥PA和一个秘密密钥SA，要将公开密钥PA发送给B前，首先，A得先获得认证机构CA颁发的证书，来证明他们是公开密钥PA的创建者，认证机构是管理数字证书的组织，任何人都可以成为这样的组织，他们存在的数量有很多。因此，选择靠谱的组织安全才可得到保障，如政府，大公司，权威机构等。认证机构有他们自己创建的公开密钥PC和秘密密钥SC，A将原始数据和公开密钥PA发送给认证机构CA。认证机构CA确认后，使用其秘密密钥SC将原始数据和公开密钥PA加密成签名，接着，将原始数据、公开密钥PA和签名合并成一个证书并发送给A，该证书成为A的数字证书。
　　A获得数字证书的流程
　　A（发送者）使用数字证书代替公开密钥PA发送给B，B收到A的数字证书，看到数字证书的创建者属于A，之后，B获得认证机构CA的公开密钥PC，并验证数字证书中的签名来自哪个认证机构。数字证书中的签名只能用认证机构自己的公开密钥PC进行验证。如果验证结果没有问题，则可以相信数字证书是由哪个认证机构签名颁发。由于确认了签名是创建者A通过认证机构CA颁发，所以从签名中提取出A的公开密钥PA，由此，从A到B的公开密钥传递就完成了。
　　B获得公开密钥的流程
　　让我们看看公开密钥在传递过程中是否会存在问题。假设恶意的第三者X冒充为A，试图传递自己的公开密钥PX，但是，B不用相信没有数字证书的公开密钥PX属于A（没有提供创建者信息）。当恶意的第三者X冒充为A试图向认证机构注册他们自己的公开密钥PX时，由于恶意的第三者X没有A的原始数据，所以不能获得认证机构CA颁发的数字证书。
　　恶意的第三者X试图欺骗B
　　另外还有一种情况，在B获得认证机构CA的公开密钥PC时，由于无法确认公开密钥PC的创建者（很可能是恶意的第三者X创建），换句话说，这里出现与公开密钥加密的公开密钥无法提供创建者信息相同的问题。事实上，认证机构CA的公开密钥PC包含在数字证书中，给这个认证机构CA签名的是排名较高的另外一个认证机构。即高级别认证机构为低级别认证机构创建证书。
　　认证机构的组成
　　假设有一个社会广泛信任的认证机构CA（黄），新公司CA（绿）希望成为认证机构，但它在社会上没有信誉，于是公司CA（绿）通过各种方法获得了认证机构CA（黄）颁发的证书，当然，认证机构CA（黄）会检查公司CA（绿）是否具备成为认证机构的条件。因此，在获得认证机构CA（黄）颁发的证书后，公司CA（绿）可以宣传自己是一家获得认证机构CA（黄）信任的认证机构。通过这样做，高级别认证机构获得了小组织的信任，形成一个树结构的大型组织。大型组织的最高层认证机构被称为根认证机构（RootCA），根认证机构证明自己的证书称为根证书。当一个根认证机构（RootCA）不是一个可信任的组织时，它将被记录并不再使用。因此，选择靠谱的组织安全才可得到保障，如政府，大公司，权威机构等。
　　认证机构的运作流程
　　数字证书在网站的使用非常广泛，通过网站接收认证机构的数字证书，你可以确认该网站是否被恶意的第三者X欺骗，数字证书在网站的使用被称为服务器证书，对于个人，数字证书与电子邮件地址绑定在一起。对于服务器，数字证书与域名服务器绑定在一起，管理域名服务器的组织和管理网站内容服务器的组织是同一个组织。
　　数字证书在网站上的广泛使用