29 | 传输（下）：数字证书与传输安全层

老师好，我用Wireshark抓包查看了测试环境的tsl的握手过程，发现握手过程的第三步开始和本节略有差异，请问有差异的原因是在我抓包的场景里，服务器选择的密码学套件和本节讲的密码学套件不一样造成的吗？ 另外下面的③是属于②的一部分，只是因为包大小的关系被分成了两个吗？ 以下是抓包得到的流程： ①客户端-->服务器：Client Hello （含第一个随机数、可选的密码学套件16个） ②服务器-->客户端：Server Hello （含第二个随机数、选择的密码学套件：ECDHE_RSA_WITH_AES_128_GCM_SHA256） ③服务器-->客户端：Certificate、Server Key Exchange、Server Hello Done ④客户端-->服务器：Client Key Exchange、ChangeCipher Spec、Encrypted Handshake Message ⑤服务器-->客户端：Change Cipher Spec、Encrypted Handshake Message

关于数字证书，有一篇我觉得非常经典的文章： http://www.youdzone.com/signature.html

TLS是安全应用层面的，需要建立在TCP传输层已经连接上的基础上，即通常情况下，TCP三次握手已经完成，再进行TSL四次握手。

我相信很多人看到这里，一个头俩大，我这里有一个讲的挺不错的加密签名的，可以对照着一起看 https://www.zhihu.com/question/52493697/answer/1600962734

原文：如果协商出的加密算法组合是依赖证书认证的，服务端还要发送出自己的 X.509 证书，而证书中的公钥是什么，也必须根据协商的加密算法组合来决定。 【而证书中的公钥是什么，也必须根据协商的加密算法组合来决定】，需要根据协商的加密算法组合，动态生成公钥么？那证书是动态实时生成的？证书不是提前申请好的么

数字证书可以用来做签名，防抵赖，例如电子合同签约等

老师，请教一下， 如果根证书被修改为一个冒充者的证书， 或者使用盗版系统 盗版浏览器， 其实还是有风险， 对吗

老师是怎么学了这么多东西的。 感觉计算机各个方面的知识都很有体系，了解各个细节和技术的由来，以及技术的优缺点（是解决了哪部分问题，而不能解决哪部分）。 感觉自己学习的时候看了就忘。

CA颁发的证书，我怎么感觉和授权中心颁发的TOKEN一样，只是验证证书来源可靠性，可以直接在本机依赖根证书去验证

1、机构、网站、身份认证 2、APP开发者认证 3、可执行程序开发者认证 4、控件开发者认证 5、API认证 6、文档的电子签章证书 7、大家自己搭建开发环境时有时需要自签名证书 其实还有很多咯。 除了顶级CA之外，其实CA也分等级的，这就涉及到了证书链。 此外，CA还要维护黑名单，吊销一些还在有效期之内的证书。