Pki原则

核心提示：

公开密钥和公开密钥证明书，产生的私钥client要么server证书。加密的公共密钥才能解密私钥文件只。私钥只能解密公开的加密文件。公众认为，它是开放的。所有的人都能够得到它。私人还表明，它是私人，它不应该是让其他人，一性。这样就能够满足电子商务中须要的一些安全要求。比方说要证明某个文件是特定人的，该人就能够用他的私钥对文件加密。别人假设能用他的公钥解密此文件，说明此文件就是这个人的，这就能够说是一种认证的实现。还有假设仅仅想让某个人看到一个文件。就能够用此人的公钥加密文件然后传给他，这时仅仅有他自己能够用私钥解密，这能够说是保密性的实现。基于这样的原理还能够实现完整性。这就是PKI 所依赖的核心思想，这部分对于深刻把握PKI 是非常重要的，而恰恰这部分是最有意思的。 

官方说明例如以下：

Signing other Certificates

签约其他证书

Possessing both a Certificate and its Private Key also gives an additional benefit, being able to sign other Certificates. This adds a small, cryptographically secure piece of information to the certificate file being signed, 

拥有证书和私钥，有另外一优点，让这添加了一个轻巧的password安全信息的证书文件签字

indicating it is authentic.

,来表明它是可信任的

This is important, because it allows us to establish a web of trust, where we have all of our certificates signed either by each other, or by a central certificate we know to be good.

这是重要的，由于它同意我们建立web信任，在我们有彼此证书签字，或者中心证书

Certificate Authority

证书认证机构：

This approach, of having a central certificate to sign many others is regarded as good security practice. It also allows for reasonably simple certificate management when compared to other alternatives, and is the approach used in libvirt.

拥有中心证书对其他服务的签字是一个好的安全实践。比較其他的可替代方案。它同意合理简单的证书管理，这样的方法在libvirt中得到应用。

This central Certificate is referred to as a Certificate Authority Certificate. We create one in the very first step of our TLS set up on the next page, then use it for signing every Client and Server Certificate we create. 

这个中心证书被称为一个证书认证机构的证书， 我们须要用它签约每个client或者服务端证书。