何时需要提交CA证书？

编程并不是一个机械性的工作，而是需要有思考，有创新的工作，语法是固定的，但解决问题的思路则是依靠人的思维，这就需要我们坚持学习和更新自己的知识。今天golang学习网就整理分享《何时需要提交CA证书？》，文章讲解的知识点主要包括，如果你对Golang方面的知识点感兴趣，就不要错过golang学习网，在这可以对大家的知识积累有所帮助，助力开发能力的提升。

我正在用 go 编写一个使用 mongodb 的服务器，并且正在研究如何启用 ssl 来连接到数据库。我找到了几个解释如何添加 ca 文件的示例。就像这样：

mongo.NewClientWithOptions(connectionString, mongo.ClientOpt.SSLCaFile(caFilePath))

我在 atlas 上使用托管数据库，他们声明所有连接默认都使用 ssl。这个针对不同问题的答案显示了如何使用 go 连接到 atlas，但代码示例不使用 ca 文件。我也找不到可以使用的从 atlas 下载 ca 文件的选项。

这让我有点困惑并引发了以下问题。何时需要提供如上所示的 ca 文件才能使用 ssl？如果 ssl 始终需要提供 ca 文件，我从哪里获取 ca 文件以连接到 atlas 上的托管集群？

解决方案

在启动 TLS 连接时，您始终需要 CA 证书来验证服务器。有时，它已经安装在您的平台上并自动使用。当此类根证书不可用时，您必须在连接期间提供 CA 文件。 CA 文件用于验证服务器提供的证书。受信任的第三方提供此 CA，并且（可能通过一系列受信任方）向服务器提供证书，因此您可以通过使用 CA 验证其证书来验证服务器的身份。

所有平台都附带一组初始根证书，可以验证众所周知的第三方生成的证书。您连接到的 mongodb 服务器可能正在使用这样的证书，因此，您的操作系统证书可用于验证它。如果您有自己的 PKI，并且您自己的 CA 未经第三方验证，那么您需要一个由您自己的 CA 签名的单独的 CA 文件。然后，您需要传递该 CA 文件来验证服务器，因为您的根证书不会包含您的自定义 CA。

CA 文件指定您信任的自签名根证书，并且可以包含中间证书证书颁发机构也是如此。

当应用程序连接到服务器时，服务器会发送其证书作为握手的一部分。服务器的证书经过数字签名。

为了检查服务器证书是否未被篡改，将查阅颁发者的证书，其中包含可用于验证数字签名的公钥。

如果颁发者是中间 CA，则其证书也由另一个 CA 签名，因此将参考 CA 的证书来验证中间证书上的签名。

这将持续到链到达由其自身签名的证书为止。这是根证书。由于它会自行签名，因此您必须明确表明您信任它才能信任整个链，包括所连接的服务器。

这里的底线是您需要在以下情况下提供 CA 文件：

• 您关心验证您所连接的服务器的身份（即防止中间人攻击），并且
• 根证书尚未通过包含在本地信任存储中而得到隐式信任

文中关于的知识介绍，希望对你的学习有所帮助！若是受益匪浅，那就动动鼠标收藏这篇《何时需要提交CA证书？》文章吧，也可关注golang学习网公众号了解相关技术文章。