pri
提取服务端pub
Issuer's signature
2.申请成功，拥有3.验签成功
pub
证书请求文件CSR
issue
携带
...其他服务端的信息
加密
sign
拥有/验签成功
trust store
Client (Browser)
服务端的pub
中间人
自己给自己背书
Issuer's pub
服务端的算法
cert
Owner's DN
背书
解密
若干个中间CA
中间证书
根证书
end user CA
cet
Issuer's pub
分发
验签：如果从该证书沿着证书链一直追溯到了自己浏览器集成的根证书，则该证书是可信的。
伪造
Root CA's self DN
Server
1.申请
root CA
（验签）
root CA会把自己颁发给自己的根证书直接发给浏览器开发商，浏览器中就集成了这些根证书
安全
用拥有背书的证书携带pub代替直接发送pub
有风险
