数字签名与证书

数字签名可以证明文档或消息由特定的私钥持有者创建，且未被修改。与手写签名不同，数字签名在数学上与内容绑定，任何更改都会使签名失效。

签名流程：

1. 计算文档的哈希值：H = SHA256(document)
2. 使用私钥加密哈希值：sig = RSA_encrypt(H, private_key)
3. 将签名附加到文档

验证过程：使用公钥解密 sig，重新计算哈希值，然后进行比较。

现代签名算法：

• ECDSA（使用 P-256）— 用于 TLS 证书和 Bitcoin
• Ed25519（EdDSA）— 速度更快、更加简单，不存在每次签名随机数导致的漏洞，用于 SSH 和 Signal

对于新应用，优先选择 Ed25519。

数字证书（X.509）将公钥与身份绑定。它包含：主体名称、公钥、有效期、签发者以及 CA 的数字签名。访问 HTTPS 网站时，服务器会出示其证书以证明自己的身份。

证书颁发机构（CA）是受信任的实体，会在验证申请者身份后为证书签名。浏览器和 OS 的信任存储中包含根 CA 证书。信任链为：根 CA → 中间 CA → 终端实体证书。

Let's Encrypt 是一个免费的自动化 CA。它签发有效期为 90 天的域名验证（DV）证书，并可通过 ACME 协议自动续期。自 2015 年以来，它显著提高了 HTTPS 的普及率。

证书验证级别：

• DV（域名验证） — 仅证明对域名的控制权
• OV（组织验证） — 验证组织确实存在
• EV（扩展验证） — 严格的身份验证（绿色栏，现已被浏览器弃用）

遭到泄露的证书必须被撤销：

• CRL（证书撤销列表） — 可下载的已撤销序列号列表
• OCSP（在线证书状态协议） — 实时检查单个证书
• OCSP 装订 — 服务器在 TLS 握手中附加由 CA 签名的 OCSP 响应

证书透明度日志是每张已签发证书的公开、只能追加的记录。浏览器要求证书包含 CT 证明。这使得人们能够在数小时内发现错误签发的证书。搜索：crt.sh

软件发布者使用代码签名证书为可执行文件签名。OS 会在执行前验证签名。这可以防止被篡改的二进制文件在不知情的情况下运行。macOS Gatekeeper 和 Windows SmartScreen 会强制执行代码签名策略。

证书固定会将预期的证书或公钥硬编码到应用程序中。即使恶意 CA 签发了欺诈性证书，启用了证书固定的应用也会拒绝它。证书固定常用于移动应用和高安全性服务。更新较为困难，请谨慎使用。

哪种机制可以让浏览器实时检查某个特定证书是否已被吊销？

数字签名使用私钥证明真实性和完整性。证书将公钥与身份绑定，并由证书颁发机构签名。Let's Encrypt 提供免费的 DV 证书。证书吊销状态通过 CRL 或 OCSP 查询。证书透明度日志可以检测错误签发的证书。Ed25519 是当前首选的现代签名算法。