Промежуточный сертификат

Промежуточный сертификат — CA-сертификат, расположенный между корневым и конечным сертификатами в цепочке PKI. Его открытый ключ и подпись позволяют клиенту подтвердить, что сертификат сервера, пользователя или другого подчинённого CA выдан доверенной иерархией. Корневой центр обычно подписывает один или несколько промежуточных CA, а те выпускают конечные сертификаты. Такое разделение позволяет хранить корневой ключ в более защищённом режиме, делегировать разные политики и ограничить последствия компрометации отдельного промежуточного центра. В TLS сервер обычно передаёт промежуточные сертификаты вместе со своим сертификатом, но не передаёт корневой. Промежуточные сертификаты применяются в публичной и корпоративной PKI, для TLS, клиентской аутентификации, подписи кода и внутренних удостоверяющих центров. Неполная или неверно упорядоченная цепочка может приводить к ошибке доверия у клиентов, не имеющих нужного промежуточного сертификата. Промежуточный сертификат отличается от корневого тем, что сам должен быть проверен по вышестоящему сертификату, а не является исходной точкой доверия. От конечного сертификата он отличается признаком CA и правом, при наличии соответствующих ограничений, подписывать подчинённые сертификаты.