在刚开始接触数字证书的时候，我们经常会听到“服务器证书”，“客户端证书”，“邮件证书”等等相关的数字证书名字，这就是数字证书的一种按照用途分类的分类方式。那么数字证书到底有多少类？又是怎么去区分的呢？
下面是我截图的几张证书信息，你知道他们是干什么的，该怎么分类么？
这里有六张证书：
根据证书持有者是否为CA，可以将证书分为两类：CA证书和用户证书。CA证书可以为用户或者其他CA签发证书，用户证书则不可以。
X.509证书格式中通过扩展项BasicConstrains来区分这两类证书。当其中的cA项为TRUE时表示为CA证书，为FALSE时表示用户证书。
BasicConstrains扩展项格式用ASN.1描叙如下：
BasicConstrains := SEQUENCE {
cA BOOLEAN DEFAULT FALSE
pathLenConstraint INTEGER(0..MAX) OPTIONAL
}
上图中的证书2，3都是CA证书，查看第二章证书的ANS.1结构我们可以看到
OBJECT IDENTIFIER2.5.29.19basicConstraints(X.509 extension)
BOOLEAN true
OCTET STRING(1 elem)
SEQUENCE(2 elem)
BOOLEAN true # 说明这是一章CA证书
INTEGER 0
其他几张就是用户证书，可以看到证书1的ASN.1结构
OBJECT IDENTIFIER2.5.29.19basicConstraints(X.509 extension)
OCTET STRING(1 elem)
SEQUENCE(0 elem)
根据证书的持有者类型，通常将证书分为几类:个人证书、单位证书和系统证书等。
个人证书是CA系统给个人签发的证书，代表个人身份。证书之中需要包括个人信息（如姓名、身份证、E-mail、电话等）和个人的公钥。就像上图4，5，6三张证书。
单位证书是CA系统给机构或者组织等签发的证书，代表单位身份。证书中需要包含单位信息 （如名称、组织机构代码、E-mail、联系人等）和单位的公钥。这类证书在一些公司或机构的站点很容易看到，如GitHub的证书，在证书中我们可以看到一些其组织公司的信息。
系统证书是CA系统给系统软件或设备系统签发的证书，又代表系统的省份。证书中需要包含系统的信息（如IP地址，域名等）和系统公钥。系统证书又包括Web服务器证书、域控制器证书、VPN设备证书、OCSP服务器证书、时间戳服务器证书等。证书1就是一张系统证书（Web服务器证书）
X.509格式本身并不支持这种分类，通常通过在Subject中增加DN(Distinct Name)项区分，如可以增加OU=PERSON表示个人证书，OU=UNIT表示单位证书等。为保持证书内容的统一性，扩展项KeyUsage、ExtKeyUsage必须设置合适的值。
根据秘钥对的产生方式，可将证书分为两类：签名证书和加密证书。
证明签名及私钥只用于签名验签，不能用于加密解密。为了保证密钥对的唯一性，该密钥对必须由用户端密码模块产生和保存，在证书签发过程中CA中心并不知道其私钥，只对其公钥进行操作。
仔细查看上面几张证书，我们就可以通过扩展字段密钥使用 ( 2.5.29.15 )来判断该证书的种类及相关用途。
X.509格式本身并不支持这种分类；通常通过存储位置或者应用系统进行区分。为了保持证书内容的同意性，扩展KeyUsage、ExtKeyUsage必须设置合适的值。
KeyUsage中已经定义的类型如下。
根据证书的用途，通常将证书分为SSL服务器证书、SSL客户端证书、代码签名证书、Email证书，时间戳服务器证书、OCSP服务器证书等。
SSL证书只用于SSL/TLS应用，如证书1，是一张服务器证书，用来保证我的网站与用户连接时的数据安全。
Email证书只用于安全电子邮件，如证书4,我们通过这个可以验证证书是谁的，保证邮件通讯过程中的安全，不被篡改。
代码签名证书只用于对代码进行签名验签。如证书5，我写的APP程序在打包时就用该证书的进行签名，用户在安装我的APP时就可以通过该证书知道该APP是谁开发的，用户只有信任了我的证书才可安装。
X.509格式中通过扩展项ExtKeyUsage来区分这几类证书。为了保持证书内容的统一性，扩展项KeyUsage必须设置合适的值。
在图中证书信息中扩展项扩展的密钥使用 ( 2.5.29.37 ) 我们就可以看出该证书的相关用途。
ExtKeyUsage中已经定义的类型如下。
[1] 《PKI/CA与数字证书技术大全》 张明德 刘伟 编著
此内容由惯性聚合(RSS阅读器)自动聚合整理，仅供阅读参考。 原文来自 — 版权归原作者所有。