网络安全体系--PKI体系--CA向用户签发的证书实际上是用户的公钥，使用CA的私钥为其签名，这样任何人都可以使用CA的公钥验证证书的合法性，验证成功的证书将在证书中承认用户提供的公钥内容，实现用户公钥的安全分发。用户证书的发放有两种方式。一般来说，CA 可以直接生成证书（包含公钥）和相应的私钥，并发送给用户；用户也可以自己生成公钥和私钥，然后由 CA 对公钥内容进行签名。 PKI 实体通过以下两种方式向 CA 申请本地证书：(1) 在线申请 (2) 离线申请证书撤销

最编程 2024-04-05 15:03:56

...

证书超出有效期后会作废，用户也可以主动向 CA 申请撤销某证书文件，由于 CA 无法强制收回已经颁发出去的数字证书，因此为了实现证书的作废，往往还需要维护一个撤销证书列表（Certificate Revocation List，CRL），用于记录已经撤销的证书序号。

因此，通常情况下，当第三方对某个证书进行验证时，需要首先检查该证书是否在撤销列表中。如果存在，则该证书无法通过验证。如果不在，则继续进行后续的证书验证过程。