数字证书

PKI（公钥基础设施）通过提供数字证书，在加密通信过程中验证通信方身份，解决了信任问题。CA（证书颁发机构）是最常见的PKI形式，但依赖于对中心化组织的信任。去中心化的PKI方案，如Web Of Trust和基于区块链的DID，正在探索中。

本文解释了数字证书的概念和作用，数字证书是由可信第三方颁发的电子文件，用于证明身份和公钥的归属，解决了中间人攻击的安全问题。文章通过数字签名和HTTPS的应用场景，阐述了数字证书在验证身份和建立加密通道中的作用，并指出当前证书体系依赖对第三方机构的信任，最后提到了去中心化数字证书的未来发展方向。

本文介绍了后量子密码（PQC）数字证书的准备工作。随着RSA和ECC密钥易受Shor算法攻击，PKI需要转向使用ML-DSA或SLH-DSA的公钥，并使用相应的私钥对证书进行签名。文章提供了一个自签名数字证书的创建过程，以及使用OpenSSL生成ML-DSA或SLH-DSA密钥对和创建CSR的示例。

文章系统介绍了数字证书、证书颁发机构（CA）与私有 CA 的作用，解释了证书如何通过 X.509 和 PKI 绑定身份与公钥，并通过链式信任建立安全通信。随后分析了证书管理在企业中的现实痛点，如人工维护易出错、证书过期导致故障、合规审计压力等，并总结了一个优秀证书管理工具应具备的能力：统一可视化、自动签发与续期、多 CA 集成、CA 层级管理以及短生命周期证书支持。最后以 Infisical 为例，强调其将证书、密钥与特权访问统一管理，并指出在 AI 时代证书管理仍是关键基础设施。

在[「详解TLS/SSL运行机制」](https://learnblockchain.cn/2019/07/16/tls-ssl/)这篇文章中，在`TLS`握手的第三步中，用到了数字证书中的公钥，通过这篇文章，我们一起来看一下为什么会出现数字证书，以及它解决了什么问题。