發佈詐騙證書的有效SSL證書

Question

我相信我主要理解與SSL證書有關的驗證鏈。不過，我不確定這種情況。 考慮此場景： 受信任的CA爲服務器A簽署證書。 此有效證書的所有者使用服務器私鑰/公鑰爲惡意實體（服務器B）簽署欺詐證書。

如果客戶端連接到另一個實體並且惡意服務器B在中間，它是否不能發回其證書並且被客戶端驗證爲可信？ 即服務器B發送其公共證書和服務器A的證書，客戶端機器驗證： 受信任的CA頒發的服務器As證書（因此它的有效）和服務器As密鑰用於發佈服務器B（因爲A是可信的，B是可信的）。

我猜措辭以另一種方式，那每個中間證書頒發機構必須在受信任的證書存儲區（好像答案是肯定的）

Answer 1

一個正常的SSL證書不能使用其他證書籤名。您需要簽名證書。一個可信的CA只會爲它也信任的一個實體簽署一個簽名證書，並且還有一個完整的檢查級別。