數位憑證是互聯網通訊中標識雙方身份的核心憑證，如同現實世界的身份證、駕照。由權威機構——CA（Certificate Authority，憑證授權中心）簽發，經數位簽名封裝持有者公開金鑰與身份信息，遵循 ITU-T X.509 國際標準。本文系統梳理數位憑證的定義、必要性、密碼學原理、CA體系架構及應用場景。

一、什麼是數位憑證？

標準 X.509 數位憑證包含：

• 版本號
• 序列號（唯一標識）
• 簽名演算法
• 簽發機構名稱（X.500 格式）
• 有效期（UTC 時間，1950-2049）
• 持有者名稱（X.500 格式）
• 持有者公開金鑰
• 簽發機構對憑證的數位簽名

CA 的數位簽名確保憑證不可偽造、不可篡改，是信任鏈的錨點。

二、為什麼需要數位憑證？

電子商務/政務要求網絡安全四大要素：

1. 機密性：信用卡號、訂單付款信息加密傳輸，防竊聽、防競爭對手獲悉商機。
2. 身份確定性：雙方素昧平生、遠隔千里，必須可靠驗證對方身份——商家防騙子，客戶防黑店。銀行/信用卡機構負責核實持卡人身份，防拒付、確認訂單。
3. 不可抵賴性：交易達成後不可否認。如訂購黃金後金價上漲，賣方否認收單時間或事實將損害買方利益。
4. 完整性/不可修改性：交易文件不可竄改。如將訂單「1噸」改為「1克」獲利，買方蒙受損失。

數位憑證結合公開金鑰體制（非對稱加密）、對稱加密、數位簽名、數位信封等技術，構建嚴密身份認證體系，保障：
✅ 信息僅發送方與接收方可讀
✅ 傳輸過程不可篡改
✅ 發送方可驗證接收方身份
✅ 發送方不可抵賴已發信息

三、數位憑證核心原理：公開金鑰體制

每位用戶持有金鑰對：

• 私鑰（Private Key）：自我保管，用於解密、簽名
• 公鑰（Public Key）：公開分發，用於加密、驗證簽名

機密通訊流程：發送方用接收方公鑰加密 → 傳輸 → 接收方用私鑰解密。
數位簽名流程：
1️⃣ 發送方用雙方約定雜湊演算法（如 SHA-256）計算報文摘要（固定長度，任意一位變動摘要值全變，保證完整性）
2️⃣ 用私鑰加密摘要 → 形成數位簽名，連同原報文發送
3️⃣ 接收方用相同雜湊算法計算報文摘要，並用發送方公鑰解密簽名得摘要值，兩者比對：相等 = 來源真實且未被篡改

主流演算法：RSA（大數分解難題，1024 位鑰需上千年破解）、ECC（橢圓曲線，鑰長更短、效率更高）。公開金鑰技術解決了金鑰分發管理難題。

四、CA 機構：信任鏈的核心

CA 作為受信任的第三方，承擔公鑰合法性驗證責任：

• 驗證申請者真實身份（個人/企業/設備）
• 簽發數位憑證，綁定身份與公鑰
• 管理憑證全生命週期：簽發、吊銷（CRL/OCSP）、續期、狀態查詢
• 發布 CA 根憑證，預置於作業系統/瀏覽器信任存儲，建立信任鏈根錨

建設合規 CA 中心，是開拓規範電子商務/政務市場的必要基礎設施，需具備權威性、公正性、唯一性，簽發符合國內國際標準（如 WebTrust、ETSI EN 319 411）的安全憑證。

五、數位憑證廣泛應用場景

• 電子商務：網上支付、簽約、B2B/B2C 交易身份認證與加密
• 電子政務：政府門戶、一網通辦、電子執照、稅務申報、海關通關
• 金融服務：網銀、證券交易、保險理賠、徵信查詢
• 企業內部：VPN 接入、郵件加密簽名（S/MIME）、代碼簽名、文檔簽署、零信任架構身份憑證
• 新興領域：物聯網設備身份（IoT 憑證）、區塊鏈節點認證、車聯網 V2X 通訊安全

數位憑證是數位世界信任的基石。理解其原理、善用 CA 體系、落地應用場景，是構建安全可信網絡環境的必修課。