Sự khác biệt giữa ca-bundle.crt và ca-bundle.trust.crt

Trên CentOS 6.5, /etc/pki/tls/certstôi có:

ca-bundle.crt

và

ca-bundle.trust.crt

Với kích thước tập tin khác nhau. Tôi nên sử dụng làm đường dẫn tin cậy cho nginx proxy_ssl_trusted_certificate .

ca-bundle.trust.crt giữ certs với "xác nhận mở rộng".

Sự khác biệt giữa certs "bình thường" và certs với EV là certs EV của bạn cần một cái gì đó giống như xác nhận cá nhân hoặc công ty bằng cách xác nhận danh tính của một người bằng hộ chiếu của anh ấy / cô ấy.

Điều này có nghĩa là nếu bạn muốn nhận chứng chỉ ev, bạn sẽ phải xác định chính mình với nhà phát hành chứng chỉ bằng hộ chiếu của bạn. Nếu bạn "là" một công ty thì một quy trình tương đương (không biết chính xác) phải xảy ra. Điều này là cần thiết nhất cho ngân hàng trực tuyến: Bạn phải chắc chắn rằng không chỉ máy chủ bạn kết nối được chứng nhận mà cả ngân hàng cũng được chứng nhận.

Do đó, ev certs "phức tạp" hơn và chứa các trường bổ sung để "nhận dạng" không chỉ máy chủ mà còn cả công ty.

Để trở lại câu trả lời của bạn: Nó phụ thuộc vào cách sử dụng của bạn. Hầu hết mọi người nên sử dụng ca-bundle.crt. Nếu bạn "là" một ngân hàng hoặc một cửa hàng trực tuyến cần chứng chỉ và "niềm tin" rất cao thì bạn nên sử dụng ca-bundle.trust.crt.

Sau khi "nổ" các gói bằng cách sử dụng tập lệnh Perl nhỏ , sau đó chạy diff --side-by-sidetrên chứng chỉ của Chính phủ Đài Loan (ví dụ: chỉ lấy vì đây là chứng chỉ duy nhất trong gói không có CNthuộc tính trong Issuervà Subjectdòng) (sử dụng SHA1 nhưng đó là được ) chúng tôi thấy sự khác biệt:

• Giấy chứng nhận từ ca-bundle.trust.crtbên trái
• Giấy chứng nhận từ ca-bundle.crtbên phải

----- BEGIN CHỨNG NHẬN CHỨNG NHẬN ----- | ----- BEGIN CHỨNG NHẬN -----
MIIFcjCCA1qgAwIBAgIQH51ZWtcvwgZEpYAIaeNe9jANBgkqhkiG9w0BAQUFA MIIFcjCCA1qgAwIBAgIQH51ZWtcvwgeee
...
LMDDav7v3Aun + kbfYNucpllQdSNpc5Oy + fwC00fmcc4QAu4njIT / rEUNE1yDM LMDDav7v3Aun + kbfYNucpllQdSNpc5Oy + ff4
pYYsfPQSMCMwFAYIKwYBBQUHAwQGCCsGAQUFBwMBDAtUYWl3YW4gR1JDQQ == | pYYsfPQS
----- KẾT THÚC CHỨNG NHẬN ----- | ----- GIẤY CHỨNG NHẬN -----
Giấy chứng nhận: Giấy chứng nhận:
    Dữ liệu: Dữ liệu:
        Phiên bản: 3 (0x2) Phiên bản: 3 (0x2)
        Số sê-ri: Số sê-ri:
            1f: 9d: 59: 5a: d7: 2f: c2: 06: 44: a5: 80: 08: 69: e3: 5e: f6 1f: 9d: 59: 5a: d7: 2f: c2: 06: 44: a5 : 80: 08: 69: e3: 5e: f6
        Thuật toán chữ ký: sha1WithRSAEnc Thuật toán chữ ký: sha1WithRSAEncoding
        Tổ chức phát hành: C = TW, O = Chứng nhận gốc chính phủ Aut Nhà phát hành: C = TW, O = Chứng nhận gốc chính phủ Aut
        Hiệu lực hiệu lực
            Không phải trước: ngày 5 tháng 12 13:23:33 2002 GMT Không trước: ngày 5 tháng 12 13:23:33 2002 GMT
            Không phải sau: Ngày 5 tháng 12 13:23:33 2032 GMT Không sau: Ngày 5 tháng 12 13:23:33 2032 GMT
        Chủ đề: C = TW, O = Chứng nhận gốc chính phủ Au Chủ đề: C = TW, O = Chứng nhận gốc chính phủ Au
        Chủ đề Thông tin khóa công khai: Chủ đề Thông tin khóa công khai:
            Thuật toán khóa công khai: rsaEncoding Thuật toán khóa công khai: rsaEncoding
                Khóa công khai RSA: (4096 bit) Khóa công khai RSA: (4096 bit)
                Mô-đun: Mô-đun:
                    00: 9a: 25: b8: ec: cc: a2: 75: a8: 7b: f7: ce: 5b: 59 00: 9a: 25: b8: ec: cc: a2: 75: a8: 7b: f7: ce : 5b: 59
                    ... ...
                    95: 7a: 98: c1: 91: 3c: 95: 23: b2: 0e: f4: 79: b4: c9 95: 7a: 98: c1: 91: 3c: 95: 23: b2: 0e: f4: 79 : b4: c9
                    c1: 4a: 21 c1: 4a: 21
                Số mũ: 65537 (0x10001) Số mũ: 65537 (0x10001)
        Tiện ích mở rộng X509v3: Tiện ích mở rộng X509v3:
            Mã định danh khóa chủ đề X509v3: Mã định danh khóa chủ đề X509v3:
                CC: CC: EF: CC: 29: 60: A4: 3B: B1: 92: B6: 3C: FA: 32: 62: CC: CC: EF: CC: 29: 60: A4: 3B: B1: 92: B6: 3: FA: 32: 62:
            Các ràng buộc cơ bản X509v3: Các ràng buộc cơ bản X509v3:
                CA: THẬT CA: THẬT
            setCext-hashedRoot: setCext-hashedRoot:
                0/0 -... 0 ... + ...... 0 ... g * ........ "... (6 .... 2.1 0/0 -... 0 ... + ...... 0 ... g * ........ "... (6 .... 2.1
    Thuật toán chữ ký: sha1WithRSAEnc Thuật toán chữ ký: sha1WithRSAEncoding
         40: 80: 4a: fa: 26: c9: ce: 5e: 30: dd: 4f: 86: 74: 76: 58: f5: ae: b 40: 80: 4a: fa: 26: c9: ce: 5e : 30: đ: 4f: 86: 74: 76: 58: f5: ae: b
         ... ...
         e0: 25: a5: 86: 2c: 7c: f4: 12 e0: 25: a5: 86: 2c: 7c: f4: 12
Sử dụng đáng tin cậy: <
  Bảo vệ E-mail, Xác thực Máy chủ Web TLS <
Không sử dụng từ chối. <
Bí danh: Đài Loan GRCA <