Email:2225994292@qq.com
中文
CNY
{{item}}
{{item.title}}
{{items.productName}}
{{items.price}}/年
{{item.title}}
部警SSL证书可实现网站HTTPS加密保护及身份的可信认证，防止传输数据的泄露或算改，提高网站可信度和品牌形象，利于SEO排名，为企业带来更多访问量，这也是网络安全法及PCI合规性的必备要求
前往SSL证书证书类型
品牌选择
证书类型
国密SSL证书的信任链建立过程，既遵循了X.509公钥基础设施(PKI)的通用框架，又融入了国密算法特性、双证书机制、国家密码管理局监管要求等中国特色元素。深入理解国密SSL信任链的建立原理与流程，对于正确部署国密SSL证书、保障网络通信安全具有重要意义。
国密SSL证书基于我国自主研发的商用密码算法体系，核心算法包括：
国密SSL证书遵循以下主要标准：
国密SSL证书最显著的特点是采用双证书机制，即每个终端实体同时拥有两张证书：
双证书机制是我国密码管理政策的要求，既保证了用户身份的不可否认性，又满足了国家对重要数据的监管需求。在国密SSL通信中，签名证书用于服务器身份验证，加密证书用于会话密钥的协商。
国密SSL信任链与国际通用信任链一样，采用树形结构，由根CA、中间CA和终端实体三级组成：
根CA是信任链的起点，是整个PKI体系中最权威的实体。国密根CA证书由国家密码管理局批准的电子认证服务机构颁发，其私钥受到最高级别的物理和逻辑保护。
国密根证书的特点：
中间CA是根CA与终端实体之间的桥梁，由根CA授权颁发证书。引入中间CA的目的是：
国密中间CA证书由根CA使用SM2算法签名颁发，有效期通常为3-5年。
终端实体证书是颁发给服务器或用户的证书，用于证明其身份。国密终端实体证书包括签名证书和加密证书两张，均由中间CA使用SM2算法签名颁发，有效期通常为1-2年。
国密SSL/TLCP协议的认证流程与国际通用的TLS 1.2协议类似，但在证书发送、证书验证和密钥协商阶段有显著差异。整个流程可以分为以下几个阶段：
客户端(通常是浏览器)向服务器发送ClientHello消息，包含以下关键信息：
特别地，国密客户端会在密码套件列表中优先声明支持国密算法套件，表明其希望使用国密SSL协议进行通信。
服务器收到ClientHello消息后，选择双方都支持的最高版本TLCP协议和最合适的国密密码套件，然后向客户端发送ServerHello消息，包含以下信息：
紧接着，服务器发送Certificate消息，这是信任链建立的关键步骤。与国际SSL协议不同，国密服务器需要发送完整的双证书链：
注意：服务器不需要发送根CA证书，因为根CA证书已经预装在客户端的信任库中。
客户端收到服务器发送的证书链后，开始进行逐级验证，这是信任链建立的核心过程。验证步骤如下：
（1）证书格式验证
客户端首先验证每张证书的格式是否符合GM/T 0015-2012标准，包括：
（2）证书链完整性验证
客户端从终端证书开始，逐级向上验证证书链的完整性：
如果证书链中缺少任何一张中间证书，或者最终无法追溯到信任的根CA证书，客户端将终止连接并提示证书不可信。
（3）数字签名验证
数字签名验证是信任链建立的核心环节，用于确保证书在传输过程中没有被篡改，并且确实是由声称的颁发者颁发的。验证过程如下：
客户端需要对证书链中的每一张证书(除了根CA证书)都进行数字签名验证。根CA证书是自签名的，其有效性由客户端的信任机制保证。
（4）证书扩展项验证
客户端还需要验证证书的关键扩展项，确保证书被正确使用：
特别地，国密证书的吊销状态检查遵循GM/T 0029-2014《数字证书撤销列表格式规范》和GM/T 0030-2014《在线证书状态协议》。
（5）服务器身份验证
最后，客户端验证服务器证书的主体名称是否与访问的域名一致。如果服务器使用了通配符证书或多域名证书，客户端需要验证访问的域名是否在证书的主体备用名称(SAN)扩展项中。
证书链验证通过后，客户端与服务器开始进行密钥协商，生成会话密钥。国密SSL协议支持两种密钥协商方式：
（1）SM2密钥交换方式
（2）ECDHE_SM2密钥交换方式
密钥协商完成后，客户端和服务器分别发送ChangeCipherSpec消息和Finished消息，确认会话建立成功。至此，国密SSL信任链建立完成，双方可以进行安全的加密通信。
国密SSL信任链与国际通用的RSA/ECC SSL信任链相比，主要有以下差异：
| 对比项 | 国密 SSL 信任链 | 国际 SSL 信任链 |
|---|---|---|
| 算法体系 | SM2/SM3/SM4 | RSA/ECC/SHA/AES |
| 证书机制 | 双证书 (签名 + 加密) | 单证书 |
| 签名算法 | SM2-with-SM3 | RSA-with-SHA256、ECDSA-with-SHA256 |
| 密钥交换 | SM2 密钥交换、ECDHE_SM2 | RSA 密钥交换、ECDHE_RSA、ECDHE_ECDSA |
| 加密算法 | SM4-CBC、SM4-GCM | AES-CBC、AES-GCM |
| 哈希算法 | SM3 | SHA-256、SHA-384 |
| 根 CA 管理 | 国家密码管理局批准 | 浏览器厂商决定 |
| 证书格式 | GM/T 0015-2014 | X.509 v3 |
其中，双证书机制是国密SSL信任链最核心的差异。在国际SSL协议中，一张证书同时用于签名和加密；而在国密SSL协议中，签名和加密功能由两张不同的证书分别实现，这不仅符合我国密码管理政策，也提高了系统的安全性。
国密根证书的预装是信任链建立的前提。目前，主流的国产操作系统(如统信UOS、麒麟OS)和国产浏览器(如360安全浏览器、QQ浏览器、搜狗浏览器)已经预装了国家密码管理局批准的国密根证书。但国际主流浏览器(如Chrome、Firefox、Edge)尚未预装国密根证书，需要用户手动安装或使用国密浏览器插件。
为了保证信任链的有效性，CA机构会定期更新根证书和中间证书。系统管理员需要及时关注CA机构的通知，更新服务器和客户端的证书库。
在部署国密SSL证书时，必须正确配置中间证书链。如果服务器只发送终端证书而不发送中间证书，客户端将无法验证证书链的完整性，导致连接失败。
正确的配置方法是：将服务器签名证书、服务器加密证书和所有中间CA证书按顺序拼接成一个证书文件，然后在服务器配置中指定该文件。注意，不要将根CA证书包含在证书链中。
国密SSL服务器需要同时部署签名证书和加密证书。在配置服务器时，需要分别指定签名证书文件、签名证书私钥文件、加密证书文件和加密证书私钥文件。
不同的服务器软件对国密双证书的支持程度不同。目前，主流的国产服务器软件(如Nginx国密版、Apache国密版、Tomcat国密版)已经支持国密双证书配置。国际服务器软件需要安装国密补丁或使用国密代理才能支持。
为了防止被吊销的证书被滥用，客户端必须检查证书的吊销状态。国密SSL证书支持CRL和OCSP两种吊销状态检查方式。
在实际部署中，建议同时配置CRL和OCSP服务，并确保CRL文件和OCSP响应能够被客户端正常访问。对于高安全性要求的场景，可以使用OCSP Stapling技术，由服务器在TLS握手过程中主动发送OCSP响应，提高验证效率和用户体验。
在国密SSL信任链建立过程中，常见的问题包括：
排查这些问题时，可以使用国密SSL检测工具(如国密SSL在线检测工具、openssl国密版)对服务器配置进行检测，定位问题所在。
国密SSL证书的信任链建立是一个复杂而严谨的过程，它融合了X.509 PKI的通用框架和我国自主研发的商用密码算法体系，形成了一套符合我国网络安全要求的数字信任机制。与国际通用的SSL信任链相比，国密SSL信任链在算法自主可控、双证书机制、国家监管等方面具有显著优势，能够为我国关键信息基础设施提供更高水平的安全保障。
Dogssl.cn拥有20年网络安全服务经验，提供构涵盖国际CA机构Sectigo、Digicert、GeoTrust、GlobalSign，以及国内CA机构CFCA、沃通、vTrus、上海CA等数十个SSL证书品牌。全程技术支持及免费部署服务，如您有SSL证书需求，欢迎联系!
京公网安备11010702002820号 
