Can you summarize the following document?
        
  

  在用於小範圍測試等目的的時候,使用者也可以自己生成數字證書,但沒有任何可信賴的人簽名,這種自簽名證書通常不會被廣泛信任,使用時可能會遇到電腦軟體的安全警告。

  根證書獲得廣泛認可,通常已預先安裝在各種軟體(包括作業系統、瀏覽器、電郵軟體等),作為信任鏈的起點,來自於公認可靠的政府機關(如香港郵政、臺灣網路資訊中心)、軟體公司(如Google、Let's Encrypt)、證書頒發機構公司(如VeriSign)等,與各大軟體商透過嚴謹的核認程式才在不同的軟體廣泛部署。由於部署程式複雜費時,需要行政人員的授權及機構法人身份的核認,一張根證書有效期可能長達十年以上。在某些企業,也可能會在內部電腦自行安裝企業自籤的根證書,以支援內部網的企業級軟體;但是這些證書可能未被廣泛認可,只在企業內部適用。

  認證機構的一個重要任務就是為客戶簽發證書,雖然廣泛認可的認證機構都已擁有根證書,相對應的私鑰可用以簽署其他證書,但因為金鑰管理和行政考慮,一般會先行簽發中介證書,才為客戶作數碼簽署。中介證書的有效期會較根證書為短,並可能對不同類別的客戶有不同的中介證書作分工。

  授權憑證又稱屬性憑證,本身沒有公鑰,必須依附在一張有效的數碼憑證上才有意義,其用處是賦予相關擁有人簽發終端實體憑證的權力;某些情況下,如果只在短期內授予憑證機構簽發權力,便可以不改變(縮短)該機構本身持有的憑證的有效期。這種情況,類似於某人持有長達十年期的護照,而只透過簽發短期入境簽證,來個別賦予護照持有人額外權力。

  其他不會用作簽發其他證書的,都可稱為終端實體證書,在實際的軟體中部署,以便建立加密通道時應用。

  伺服器通常以域名形式在因特網上提供服務,伺服器證書上主體的通用名稱就會是相應的域名,相關機構名稱則寫在組織或單位一欄上。伺服器證書(包括公鑰)和私鑰會安裝於伺服器(例如Apache),等待客戶端連線時協議加密細節。客戶端的軟體(如瀏覽器)會執行認證路徑驗證演算法以確保安全,如果未能肯定加密通道是否安全(例如證書上的主體名稱不對應網站域名、伺服器使用了自簽證書、或加密演算法不夠強),可能會警告使用者。

  如果伺服器證書上主體的通用名稱(或主體別名)一欄以萬用字元字首,則該證書可以用於旗下的所有子域名,特別適合較具規模、或設有多個子網站的機構一次過申領,套用於多個伺服器上;即使未來建立新的子域名,也可以套用。但萬用字元不可用於擴充套件認證證書上。

  有時候,某些TLS伺服器可能會在建立加密通道時,要求客戶端提供客戶端證書,以驗證身份及控制存取許可權。客戶端證書包含電子郵件地址或個人姓名,而不是主機名。但客戶端證書比較不常見,因為考慮到技術門檻及成本因素,通常都是由服務提供者驗證客戶身份,而不是依賴第三方認證機構。通常,需要使用到客戶端證書的服務都是內部網的企業級軟體,他們會設立自己的內部根證書,由企業的技術人員在企業內部的電腦安裝相關客戶端證書以便使用。在公開的因特網,大多數網站都是使用登入密碼和Cookie來驗證使用者,而不是客戶端證書。  在臺灣,中華民國內政部憑證管理中心根據電子簽章法負責簽發自然人憑證,讓國民在網路使用各種政府服務。  客戶端證書在RPC系統中更常見,用於驗證連線裝置的許可授權。

  一般遵從X.509格式規範的憑證,會有以下的內容,它們以欄位的方式表示:

  數字證書一般由數字證書認證機構簽發,簡單的程式如下:

  電子證書可以二進位制或Base64形式儲存,常見的副檔名有.cer、.crt、.der和.pem。如果把證書和私鑰一起儲存,則可以使用PKCS#12(.p12)格式。

  法人團體申領數碼憑證的時候,可以視乎其法人的地位及其實際需要申領不同級別的憑證,認證機構會作相應的稽核,越高階別的通常都牽涉越嚴謹的行政程式,及需付出更高昂的費用。各大憑證機構和網頁瀏覽器軟體商透過CA/瀏覽器論壇共同建立和維護相關的指導方針。

  這是最基本的稽核級別,如果申領代表可以證明他擁有管理某域名的權力,認證機構就可以發放域名驗證(DV)證書。認證機構通常使用自動機制(例如自動證書管理環境或透過電郵確認)稽核域名擁有權,所以成本也較低。

  如果申領代表可以證明他擁有管理某域名的權力,而且相關組織是實際存在的法人,認證機構可以發放組織驗證(OV)證書。稽核程式通常需要經過人手處理。

  這是最嚴格的稽核級別,稽核過程可能牽涉專業法律人員的調查及獨立審計人員的確認,成本也自然更高;成功獲得擴充套件驗證證書的網站,現代瀏覽器通常會在位址列以綠色表示相關機構的法人名稱及所屬國家程式碼。擴充套件驗證證書的主體名稱或主體別名上不可以有萬用字元。

  公開金鑰基礎建設的弱點,在於人們必須循數碼憑證上的信任鏈找到根證書,並信任核發根證書的數字證書認證機構,一旦憑證機構被黑客入侵,黑客可以在人們不知情下籤發了偽冒他人身份的證書,以中間人攻擊進行欺詐。業界已研發不同的防禦方法,例如憑證機構可以透過證書透明度公佈新簽發的電子憑證,讓大眾檢查手上收到的電子憑證是否可能未被正式授權(中間人攻擊不會「公佈」他偽冒了別人簽發了欺詐憑證),網站管理員也可以定期檢查是否有不明機構發出了未被授權的憑證。另一方面,HTTPS網站可以使用HPKP指明其固定的公鑰,讓中間人的欺詐憑證無法使用。另外,而OCSP和OCSP裝訂也在發展中,讓使用者軟體可以透過第三方檢查憑證是否有効。  在公鑰基礎設施以外,信任網路則採用去中心化的概念,取代了依賴數字證書認證機構的公鑰基礎設施,因為每一張電子證書在信任鏈中最終只由一個根證書授權信任,信任網路的公鑰則可以累積多個使用者的信任。

  

  2009年,中國因特網路資訊中心(CNNIC)的一名員工向Mozilla申請要求將 CNNIC 加入 Mozilla 的 根證書列表,並且得到了批准。後來微軟也把 CNNIC加到了Windows的根證書列表裡。  2015年,因CNNIC發行的一箇中級CA被發現發行了Google域名的假證書,許多使用者選擇不信任CNNIC頒發的數字證書。並引起對CNNIC濫用證書頒發權力的擔憂。  2015年4月2日,Google宣佈不再承認CNNIC所頒發的電子證書。4月4日,繼Google之後,Mozilla也宣佈不再承認CNNIC所頒發的電子證書。2016年8月,CNNIC官方網站已放棄自行發行的根證書,改用由DigiCert頒發的證書。

  2016年,擁有奇虎360背景的中國最大CA證書籤發機構沃通(WoSign),遭谷歌拒絕承認其憑證。  沃通被揭發在短短5日內發行了幾百個相同序列號的證書,以及對證書日期上造假。
公開金鑰認證(英語:Public key certificate),又稱數碼憑證(digital certificate)或身份憑證(identity certificate)。是用於公開金鑰基礎建設的電子檔案,用來證明公開金鑰擁有者的身份。此檔案包含了公鑰資訊、擁有者身份資訊(主體)、以及數字證書認證機構(發行者)對這份檔案的數碼簽章,以保證這個檔案的整體內容正確無誤。擁有者憑著此檔案,可向電腦系統或其他使用者表明身份,從而對方獲得信任並授權存取或使用某些敏感的電腦服務。電腦系統或其他使用者可以透過一定的程式核實憑證上的內容,包括憑證有否過期、數碼簽章是否有效,如果你信任簽發的機構,就可以信任憑證上的金鑰,憑公鑰加密與擁有者進行可靠的通訊。