PKI 与公钥基础设施的核心

PKI 是一整套机制：由第三方 认证中心 用 数字证书 来保证某个 公钥 确实属于声称拥有它的那个人。

公钥本身并没有写上所有者的名字，所以只拿到密钥，无法把它和冒充者的密钥区分开。认证中心（CA）先核实申请者的身份，再签发把公钥与所有者绑定在一起的证书。PKI 指的是由认证中心、证书以及验证证书的流程等组成的基础设施，并不是某个产品的名称。

类比签名用的印章谁都能刻，但有了官方出具的印章登记证明，别人才能相信“这枚印章属于这个人”。PKI 就相当于这套登记制度。

记法Infrastructure 指的是像道路、自来水那样支撑社会运转的基础设施。

该术语的过去问 2 题 PKI →

公钥基础设施（公開鍵基盤）是 PKI（Public Key Infrastructure）的日语名称，两者指的是同一套机制。

在日语名称中，公開 对应 Public，鍵 对应 Key，基盤 对应 Infrastructure。文档里也常把两种写法并列，写成“PKI（公钥基础设施）”的样子（PKI (公開鍵基盤)）。

该术语的过去问 2 题 公開鍵基盤 →

数字证书（デジタル証明書）是一份电子数据，由 认证中心 附上 签名，保证“这个 公钥 属于这个人（或这台服务器）”这一对应关系。

它也叫电子证书或公钥证书，是 PKI 的核心。接收方核验签发它的认证中心的签名后，就可以把证书上记载的公钥当作对方本人的公钥来使用。证书有有效期，到期后需要更新。

类比就像带照片的身份证。照片（公钥）与姓名（所有者）这一组合，由签发机关的印章来担保。

记法它的别名“公钥证书”直接告诉你：被证明的对象是公钥。

该术语的过去问 3 题 デジタル証明書 →

根证书（ルート証明書）位于证书之间 信任链 的最顶端，是最上层的认证中心为自己签名的（自签名）证书。

证书由上级认证中心的签名来担保，而上级又由更上一级的认证中心担保，由此形成 信任链（证书链）。处在中间的认证中心的证书叫做 中间证书；沿链条追溯到最顶端时已没有上级可以担保，所以根证书是自签名的。浏览器和操作系统中预先内置了可信的根证书。

类比假设公司的任命书要依次经过科长、部长、总经理的批准才生效，那么根证书就相当于总经理的印章。总经理之上再没有人批准，但全体员工从一开始就认定这枚印章是真的。

记法root 意为“根”：在倒过来画的证书树里，信任从最上面的根流向下面的枝。

信任锚（トラストアンカー）是在验证证书时，被规定为不再继续核实、直接予以信任的 起点。

验证从收到的证书开始，依次追溯签发者，一边确认签名正确、每张证书都没有过期或被吊销，一边向上走，只要到达事先定好“这里可以相信”的点就算成功。这个事先定好的点就是信任锚，多数情况下由浏览器或操作系统中内置的根证书来担当。信任从信任锚向下面的证书传递，因此最终到达的那个点就是信任的起点。

类比顺着一个陌生人的介绍信一路往上追，最后追到自己非常熟悉的恩师名下，就能相信这份介绍。恩师就相当于信任锚。

记法anchor 是船的“锚”。可以记成：一路追溯的验证在这里停下，不再漂流，稳稳落定。

信任基点（信頼の基点）是 信任锚 的日语名称，指验证时无条件信任的起点。

trust 被译作 信頼（信任），anchor 被译作 基点。不同的文档里，片假名的英语名称和日语名称两种写法都会用到。

服务器证书（サーバ証明書）是向连接过来的浏览器等表明 Web 服务器等 连接目标 是真实的证书。

它用于 SSL/TLS（https 通信），因此也被称为“SSL 证书”。证书中包含服务器的名称和运营者信息、该服务器的公钥，以及签发它的认证中心的签名。

类比就像店门口挂着一份由可信第三方核实过店名和地址的证明。顾客能确认这是招牌上写的那家真店，但看不出这家店的口碑好坏。

记法server 有“侍奉者”的意思，可以记成：这是应请求提供服务的一方用来表明自己身份的证书。

该术语的过去问 2 题 サーバ証明書 →

客户端证书（クライアント証明書）是用来表明连接到服务器的 用户或终端 是正当对象的证书。

事先把它装进已获许可的用户终端，服务器在每次连接时核验该证书。与 ID 和口令（密码）配合使用，就能让没有装证书的终端即使知道口令也进不来。

类比就像会员制俱乐部的会员卡。店方查看进门顾客的会员卡，确认对方是不是正式会员。

记法client 是“委托人”，可以记成：请求服务的一方所持有的证书。