https://xinqilin.github.io/tags/pki/ Recent content in PKI on Bill.Lin's Notes Hugo zh-tw Sun, 01 Nov 2026 00:00:00 +0800 https://xinqilin.github.io/post/security/web-certificate-trust/ Sun, 01 Nov 2026 00:00:00 +0800 https://xinqilin.github.io/post/security/web-certificate-trust/ <p>在瀏覽器打開網站一切正常，同一個網址換成 <code>mvn</code>、<code>curl</code>、<code>docker build</code> 或 Spring Boot 的 <code>RestClient</code> 卻跳出 <code>PKIX path building failed</code>、<code>self signed certificate in certificate chain</code>。遇到這種狀況，很多人會加 <code>-k</code>、關掉驗證，或者到處亂 import 憑證，然後問題就這樣過去了，下次再碰到還是不知道原因。</p> <p>這篇把「憑證為什麼被信任」從頭拆一次，依序講 9 個主題。每一節的格式都一樣：</p> <ol> <li><strong>白話版</strong>：先用一個生活比喻建立直覺</li> <li><strong>動態圖</strong>：點圖可以開原尺寸（手機上建議點開看）</li> <li><strong>工程師版</strong>：欄位、規則、實測輸出</li> <li><strong>常見誤解與踩坑</strong></li> </ol> <p>最後是兩個實戰案例（公司防火牆 SSL inspection、自建內部 CA）和一張速查表。</p> <blockquote> <p><strong>實測環境</strong>：macOS、OpenSSL 4.1.0（Homebrew）、macOS 內建 curl 8.7.1（LibreSSL）、Amazon Corretto 21（<code>keytool</code>、<code>java.net.http.HttpClient</code>），測試站台用 <code>github.com</code> 與 <a href="https://badssl.com/">badssl.com</a>。指令輸出都是實際跑出來的結果，原樣貼在 <code>#</code> 註解或輸出區塊。Dockerfile、Spring Boot 設定、Keychain 匯出、Windows 相關的內容是依官方文件撰寫的，沒有在本機實跑，文中會標註。</p> </blockquote> <hr> <h2 id="目錄">目錄</h2> <ul> <li><a href="#overview">打開 https://github.com 時，依序發生了什麼</a></li> <li><a href="#tls-handshake">1. TLS Handshake：先握手，再講話</a></li> <li><a href="#x509">2. X.509 憑證：網站的身分證</a></li> <li><a href="#chain-of-trust">3. Chain of Trust：根憑證 → 中繼憑證 → 網站憑證</a></li> <li><a href="#trust-store">4. Root CA 與 Trust Store：信任名單在誰手上</a></li> <li><a href="#wildcard-san">5. Wildcard 與 SAN：這張證件能代表哪些名字</a></li> <li><a href="#firewall">6. 防火牆：中間人合法化之後</a></li> <li><a href="#hsts">7. HSTS：讓瀏覽器記住只走 HTTPS</a></li> <li><a href="#renewal">8. 憑證過期、續約與「自動信任」</a></li> <li><a href="#openssl">9. openssl 排錯工具箱：自己當一次 CA</a></li> <li><a href="#case-firewall">實戰案例 A：公司防火牆 SSL inspection</a></li> <li><a href="#case-internal-ca">實戰案例 B：自簽憑證與內部 CA</a></li> <li><a href="#cheatsheet">速查表：錯誤訊息 → 原因 → 第一個指令</a></li> <li><a href="#references">參考資料</a></li> </ul> <hr> <h2 id="overview">打開 <a href="https://github.com">https://github.com</a> 時，依序發生了什麼</h2> <p>先看全貌。9 個主題其實是同一件事的不同步驟：</p>