月度归档： 2021年11月

一个OCSP请求包含以下数据：协议版本、服务要求、目标证书标识和可选的扩展项等。

在接受一个请求之后，OCSP服务端响应时进行如下检测：

• 信息正确格式化
• 响应服务器被配置提供请求服务

请求包含了响应服务器需要的信息，如果任何一个先决条件没有满足，那么OCSP服务端将产生一个错误信息；否则的话，返回一个确定的回复。

所有确定的回复都由天威诚信证书签发者密钥进行数字签名，主要回复状态包括：证书有效、已吊销、未知。回复信息由以下部分组成：

• 回复语法的版本
• 响应服务器名称
• 对请求端证书的回复
• 响应产生的时间
• 可选扩展
• 签名算法对象标识符号
• 对回复信息散列后的签名

如果出错，OCSP服务器会返回一个出错信息，这些错误信息没有天威诚信证书签发者密钥的签名。出错信息可能包括：

• 未正确格式化的请求（malformedRequest）
• 内部错误（internalError）
• 请稍后再试（trylater）
• 需要签名（sigRequired）
• 未授权（unauthorized)

天威诚信目前有2个根证书，分别为vTrus Root CA证书（RSA）、vTrus ECC Root CA证书（ECC），每个根CA下设中级CA，以签发订户证书。天威诚信不签发外部中级CA证书。

1)vTrus Root CA

• 天威诚信vTrus Root CA证书的密码算法为RSA，根密钥长度为4096-bit；此根CA下设5个中级CA证书：
• vTrus EV SSL CA证书，密钥长度为2048-bit，签发密钥长度为RSA 2048-bit的EV SSL服务器类证书；
• vTrus OV SSL CA证书，密钥长度为2048-bit，签发密钥长度为RSA 2048-bit的OV SSL服务器类证书；
• vTrus DV SSL CA证书，密钥长度为2048-bit，签发密钥长度为RSA 2048-bit的DV SSL服务器类证书。
• vTrus Document Signing CA证书，密钥长度为2048-bit，签发密钥长度为RSA 2048-bit的文档签名类证书。
• vTrus Time Stamping CA证书，密钥长度为4096-bit，签发密钥长度为RSA 4096-bit的时间戳类证书。

2)vTrus ECC Root CA

天威诚信vTrus ECC Root CA证书的密码算法为ECC，根密钥长度为384-bit；此根CA下设3个中级CA证书：

• vTrus ECC EV SSL CA证书，密钥长度为256-bit，签发密钥长度为ECC 256-bit的EV SSL服务器类证书；
• vTrus ECC OV SSL CA证书，密钥长度为256-bit，签发密钥长度为ECC 256-bit的OV SSL服务器类证书；
• vTrus ECC DV SSL CA证书，密钥长度为256-bit，签发密钥长度为ECC 256-bit的DV SSL服务器类证书。

天威诚信目前有1个根证书vTrus SM2 Root CA G1证书，下设3个中级CA，以签发订户证书。天威诚信不签发外部中级CA证书。

vTrus SM2 Root CA G1

天威诚信vTrus SM2 Root CA G1证书的密码算法为SM2，根密钥长度为256-bit；此根CA下设3个中级CA证书：

vTrus SM2 OV SSL CA证书，密钥长度为256-bit，签发密钥长度为SM2 256-bit的OV SSL服务器类证书；

vTrus SM2 DV SSL CA证书，密钥长度为256-bit，签发密钥长度为SM2 256-bit的DV SSL服务器类证书；

vTrus SM2 EV SSL CA证书，密钥长度为256-bit，签发密钥长度为SM2 256-bit的EV SSL服务器类证书。（天威诚信暂不签发SM2 EV SSL订户证书）。

请您在申请、接受或使用任何域信数字证书之前，必须仔细阅读本协议。如 果您不同意本协议的条款，请不要申请、接受或使用该证书。若您接受本协议内 容，从您申请证书开始，您已同意和接受本协议中所有条款的约束力。

协议双方为天威诚信和证书申请人或订户，自证书申请之日起生效。

1.  信息准确：用户在任何时候都有义务和保证向天威诚信提供真实、准确和完 整的证书申请信息，包括：证书请求文件、身份证明材料等天威诚信要求的与签发 证书类型相应的资料；(Ⅰ)如果在证书申请中所做的陈述变更或不再有效，用户需 通知天威诚信; (Ⅱ)用户提供的证书信息(包括任何电子邮件地址)不侵犯任何第三 方的知识产权;(Ⅲ)用户提供的证书信息(包括任何电子邮件地址)均未且不会用于 任何非法目的；

2.  密钥保护：用户在任何时候都有责任和义务采取有力的措施来保证证书密钥 的安全，证书密钥必须由专人保管，不得外泄，并保管好密钥密码；用户,或被 授权的用户,是唯一一个拥有密钥,管理密码,PIN,软件或硬件机制保护密钥的主 体；

3.  证书验收：用户有责任和义务在收到证书后检查和核实证书内容的准确性； 一旦用户使用服务器证书，用户应对相关使用行为自行负责，并自行承担因使用行 为所产生的一切后果；如果用户在收到服务器证书 24 小时内未明确表示拒绝， 就 表示接受该证书；

4.  证书使用和限制：用户有责任和义务只在证书主题备用名称中列出的绑定域 名的服务器中安装证书，并保证在使用过程中遵守所有适用的法律法规和本使用条 款；不应该使用:(Ⅰ)代表任何其他组织;(Ⅱ)非证书申请人进行包含相应域名及/或 组织名称的证书公私钥的运营；(Ⅲ)在危险环境中使用需要确保安全性能的设备(如 核设施的操作、航空器导航或通信系统、空中交通管制系统、武器控制系统等)时， 不能使用。如果用户使用在多个物理服务器设备中，用户默认承认并同意该选项会 增加网络的安全风险，并且天威诚信明确否认对跨多个设备的单个密钥分发导致的安 全漏洞的任何责任。(Ⅳ)服务器证书申请人的申请获得批准，申请人即成为服务器证 书用户。申请人保证本人为域名的持有人或经授权的托管人，若采取欺诈等手段获 取服务器证书，经查证属实的，天威诚信有权撤销该服务器证书。在服务器证书有 效期内因使用该服务器证书给他人造成损失的， 由申请人自行承担赔偿责任。

5.  证书吊销：用户有责任和义务在以下情况下立刻停止使用证书，并立刻向天 威诚信申请吊销证书：(Ⅰ) 证书中信息不正确或不准确，或由于证书申请单位 信息变更而变成不正确或不准确，或 (Ⅱ) 任何实际或涉嫌被滥用或证书密钥丢 失或证书损坏等; (Ⅲ) 用户必须保证服务器证书有效期内域名持有人不得变

代码签名证书是一种数字证书，也被称为数字签名证书，它保证代码、软件、应用程序和可执行程序的合法性。基于公共关键基础架构，代码签名证书会在代码上签名，并确保代码不会在从开发人员系统到最终用户系统的路上被更改或损坏。这样，代码签名可以帮助最终用户确定软件/应用是否值得信任。

因此，我们可以说，代码签名实现了两个基本目标-验证和完整性。验证，因为它表明软件是由合法和经过验证的发布者编写的。代码签名证书不允许任何第三方更改和损坏任何软件背后的代码。因此，服务于代码完整性的目的。

代码签名如何工作？

代码签名证书适用于一种称为公钥基础设施（PKI）的加密技术，该技术类似于SSL/TLS证书中使用的方法。两个加密密钥，即公钥和私钥用于加密代码。当软件作者向证书机构（CA）请求证书时，将生成此公私密钥对。在两个密钥中，专用密钥表示数据/代码，公共密钥用于授权签名。

私人密钥由发布者保存，以便软件完好无损，任何黑客都不能篡改它。证书提供者收到申请人的请求后，将验证申请人的身份。一旦审查过程由CA完成，证书被认为是合法的，证书被颁发。

代码签署过程

如果您想使用代码签名证书签署软件，您必须遵循以下步骤：

• 首先，您必须向受信任的证书机构（CA）申请代码签名证书。
• 然后，您应该通过CA验证您的身份。
• 下一步是生成单向哈希，并使用您的私钥加密它。
• 最后，您必须捆绑哈希和证书。

代码签名如何防止恶意软件

从黑客的角度来看，开源软件已被证明是一种致命的武器。在此类软件中注入恶意软件是一种经过尝试和测试的方法。因此，我们强烈建议您避免使用显示未知发布商的软件，远离危险。

然而，这并不意味着数字签名软件是百分之百的安全。我们也看到了植入签名软件中的恶意软件案例。

这种恶意软件的注入主要是通过窃取证书/私人密钥来完成的。因此，您必须在安全的地方保留代码签名证书，并确保所有文件都受到密码保护。

代码签名是保护用户和开发人员的基本方法。从开发人员的角度来看，代码签名不仅保护代码，而且还提高了您的声誉。这最终导致更好的下载数字。如果您是用户，您必须坚持下载已签名的软件。

想知道为什么SSL是必不可少的吗？以下是使用SSL证书的五个主要好处。

1、SSL保护数据

SSL证书的核心功能是保护服务器-客户端通信。安装SSL时，每一点信息都会被加密。用外行的话说，数据是锁定的，只能由预期的收件人（浏览器或服务器）解锁，因为没有其他人可以有打开它的密钥。在处理敏感数据（如ID、密码、信用卡号码等）时，SSL可帮助您抵御黑客和窃窃者这群调皮的入侵者。当SSL将数据转化为无法识别的格式时，黑客的技能被证明是对抗SSL证书无法超越的加密技术的一把无边之剑。

2、SSL确认您的身份

SSL证书的第二个主要任务是为网站提供身份验证。就网络安全而言，身份验证是最重要的方面之一。毫无疑问，互联网越来越具有欺骗性。

当您想要安装SSL证书时，您必须经过由称为证书管理局（CA）的独立第三方设置的验证过程。根据证书的类型，CA会验证您和您的组织的身份。一旦您证明了自己的身份，您的网站就会获得信任指标，从而保证您的诚信。当用户看到他们时，他们知道自己在跟谁说话。

把这当成经过验证的帐户。这里唯一的区别是，您需要验证您的网站身份，而不是网站帐户。这种验证确保没有冒名顶替者创建假网站假装是你的。在技术方面，这被称为网络钓鱼。因此，SSL可帮助用户开到您的真实网站，避免用户欺诈，并提高您的声誉。

3、更好的搜索引擎排名

2014年，谷歌对其算法进行了修改，以便让支持HTTPS的网站占上风。这在SEO专家在世界各地进行的各种研究中已经很明显。Backlinko创始人布赖恩·迪恩进行的一项此类研究表明，HTTPS与搜索引擎排名较高之间有着很强的相关性。

4、SSL可帮助您满足PCI/DSS要求

如果您接受在线支付，您必须了解一两件关于PCI/DSS要求的事情。要接收在线付款，您的网站必须符合PCI要求。安装SSL证书是支付卡行业（PCI）设定的12项主要要求之一。

因此，无论您是否想要，SSL都是必不可少的。

5、SSL提高客户信任度

如果由我们决定，我们会将SSL（安全套接层）重命名为TTL（信任传输层）。幸运的是，事实并非如此。但这并不能阻止我们对SSL证书的赞美。除了加密和身份验证之外，从客户信任的角度来看，SSL证书至关重要。易于识别的标志会告知用户他们发送的数据将得到保护。如果您安装了OVSSL证书或EVSSL证书，他们可以看到您组织的详细信息。一旦他们知道你是一个合法的实体，他们更有可能与你做生意，甚至访问你的网站。

谷歌在2018年强制实施SSL

为了从2018年开始提供更安全的网页浏览体验，Google决定标记在其网站上未安装SSL/TLS证书的网站。如果有人不遵守此规则，全球所有流行的Web浏览器（如Google Chrome、Firefox和Mozilla等）都会在URL栏上发出”不安全”的警告信息，从而惩罚他们。在不久的将来，网站甚至可能被阻止加载到浏览器上。无论您拥有哪个网站，从个人博客到任何购物门户网站SSL都是强制性的，不关注它可能导致访问者流失，而这不是网站所有者希望面对的。

SSL证书过期可能会对您的公司、品牌和利润造成重大影响

很多人问我们，为什么SSL到期很重要？谁在乎我的网站是否有过期证书？SSL证书为您的网站访问者甚至您自己的员工提供了某些保护，但它也具有额外的好处。

它还说明了您和您的业务，当您懒得保持最新的SSL证书安装。今天，我们将讨论为什么SSL证书过期，让过期的SSL证书会影响您的业务。

SSL过期-解释

很多人想知道为什么SSL证书过期。他们问，这不是某种骗局吗？不，SSL证书需要过期有两个非常重要的原因。第一个与证书的验证方面有关。签发这些SSL证书的证书机构需要验证流程，以确保域名仍归同一所有权所有，如有必要，如果公司有任何变化，则需要办理组织审核流程。

在这方面，这和更新驾驶执照没什么两样。

还有一个技术原因，当证书更快地过期时，更容易推动全行业的变化。例如，几年前，哈希算法从SHA-1更改为SHA-2。如果SSL证书从未过期，您将拥有大量从未升级的入口。即使有效期更长，也存在挑战。根据旧规则，最高有效期为27个月，这意味着您必须等待长达27个月才能在日落完成之前过期。

SSL必须过期。但你不能让它对你的业务产生负面影响。

1、它会影响你的通信
虽然谷歌和其他浏览器供应商可能刚刚开始处罚那些没有通过HTTPS提供服务的网站，但他们多年来一直在用过期的证书诋毁网站。当浏览器到达带有过期SSL证书的网站时，它会抛出一个整页警告，即前面的网站有过期证书、不安全或无法进行安全连接。不管措辞如何，没有人点击这些警告。这会使你的通信崩溃。

2、它会影响你的品牌
当传统上能够使用您的网站的人不再能够访问它，因为你让某些东西在你的结束过期，他们不会喜欢它。互联网并不能展现人们更好的天性，而且你公司的品牌很快就会受到很大的冲击。这充分说明，你不能同时更新自己的SSL证书。它还说，你也不会那么重视安全。

3、它会影响你的底线
随着您的品牌受损，您的网站无法访问，您的底线将下降。你最好希望你有离线收入，因为你的电子商务销售即将触底。即使人们点击浏览器警告，而没有考虑过期对您的品牌意味着什么，他们可能不会喜欢您无法安全地连接以获取其财务信息并完成任何交易的事实。事实上，你试图交易是不道德的，因为你知道所有数据都会以易于截获的便条形式传输。

4、您的客户将被黑客攻击
假设有人点击浏览器警告，不持有它反对你的品牌，实际上想通过HTTP完成与你的交易-他们可能会被黑客攻击。由于您的证书已过期，您的网站将成为黑客、网络罪犯和所有其他技术新井的热门目标。他们会很乐意窃听您的所有连接，并窃取任何财务细节或登录信息来他们的方式。