这里所说的“三级证书”只指用户的SSL证书是在“受信任的根证书颁发机构”下的“中级证书颁发机构”下颁发的证书,而“二级证书”只指用户的SSL证书是直接在“受信任的根证书颁发机构”下颁发的证书。两种不同级别的SSL证书各有各的好处:
一、认为二级证书好的主要有两个理由
1、二级证书安装简单,不用安装中级根证书
2、二是会加快SSL加密协商过程
二、认为三级证书好的也有两个理由
1、三级证书的安全性更好,因为CA可以把顶级根证书脱机放在一个安全的地方,而联机颁发证书的是中级根证书,一旦中级根证书遭到破坏,还可以从顶级根证书颁发一个中级根证书来重新给用户颁发证书。但如果让顶级根证书联机颁发证书,则一旦顶级根证书遭到破坏,则是灾难性的损失,使得CA再也无法颁发证书了,因为根证书是无法重新设置的,重新设置的根证书已经不是原来的根证书了
2、在中级根证书下颁发证书会大大减少证书吊销列表的容量,从而加快每次验证SSL证书有效性的速度。另外,实际上在中级根证书下安装证书同二级证书安装一样容易,因为一般由中级根证书颁发的证书都支持PKCS#7格式(证书中已经含有中级根证书)。
根据微软网站上的有关证书服务文档,微软认为:为了根证书的安全,应该使用脱机的根证书来创建证书层次结构,不同用途的证书使用不用的中级根证书来颁发。同时,证书颁发机构的层次结构也提供了管理上的好处,包括:
CA 安全环境的灵活配置在安全性和可用性之间达成了一种平衡,如密钥强度、物理保护和网络保护免受攻击。例如,可以选择在根 CA 上使用具有特别用途的加密硬件,在物理安全区对它进行操作,或脱机进行操作。
二级证书好,证书链越短越好。
解释原因:
证书链越短速度很快。
根证书链越长,意味着证书文件越大,信任规则越复杂。
证书链会影响证书的影响速度。
建议使用根证书+中间证书+域名证书就可以了。
解决办法:可以在Gworg拿到较短的SSL根证书。