证书的层级结构

一 点睛

用户需要使用认证机构的公钥，对证书上的数字签名进行验证。

那么，对于用来验证数字签名的认证机构的公钥，怎样才能判断它是合法的呢？对于认证机构的公钥，可以由其他认证机构施加数字签名，从而对认证机构的公钥进行验证，即生成一张认证机构的公钥证书。

一个认证机构来验证另外一个认证机构的公钥，这样的关系可以迭代好几层。这样一种认证机构之间的层级关系，我们可以用某公司内部PKI来类比。例如某公司的组织结构如下，每一层组织都设有认证机构。

假设Bob是札幌办事处的一名员工，札幌办事处员工的公钥由札幌办事处认证机构颁发的（因为这样更容易认证本人身份）。

对于札幌办事处认证机构的公钥，则由北海道分公司认证机构颁发证书，而对于北海道分公司认证机构的公钥，则由东京总公司认证机构颁发证书，以此类推......。不过这个链条不能无限制延伸，总要有一个终点，如果这个终点就是东京总公司认证机构（即不存在更高一层的认证机构）的话，该认证机构一般就称根CA（Root CA）。而对于东京总公司认证机构，则由东京总公司认证机构自己来颁发证书，这种对自己的公钥进行数字签名的行为称为自签名。

二 分析

<