KeepTrust（环安信）SSL 证书

KeepTrust 由谁签发？品牌、SHECA 与交叉根的关系

KeepTrust 是上海环度信息科技有限公司的证书品牌，KeepTrust 中间证书由上海市数字证书认证中心（SHECA）签发，用户的服务器证书由 KeepTrust 中间证书签发，整条证书链以国产根证书为信任锚，并通过国外交叉根兼容不收录国产根的客户端。理解这几个角色，有助于判断 KeepTrust 是否满足项目的合规与兼容性要求。

交叉根是如何工作的？

交叉签名（cross-signing）是 PKI 中常见的兼容性方案：一家 CA 的根证书为另一套证书体系签发“交叉证书”，使同一张服务器证书可以沿两条不同的路径验证。新建立的根证书需要时间才能进入各平台的根证书库，交叉签名可以让它在此期间被已信任境外根证书的客户端接受。客户端验证 KeepTrust 证书的过程可以概括为：

1. 服务器在 TLS 握手时发送服务器证书与中间证书（以签发时提供的证书链文件为准）；
2. 客户端从服务器证书开始，逐级查找签发者，尝试构建一条到本地根证书库的路径；
3. 如果客户端的根证书库信任国产根证书，验证在国产根处完成；
4. 如果客户端不信任国产根、但信任签发交叉证书的境外根证书，则经由交叉证书验证到该境外根；
5. 两条路径都无法建立时（例如很旧的系统或自带信任库的嵌入式设备），客户端会提示证书不受信任，需要实测后再决定是否使用。

因此，部署 KeepTrust 证书时必须使用签发时提供的完整证书链文件，不要自行删减其中的中间证书或交叉证书。EncryptionSign 自动部署时会使用完整证书链。

“国产根”“资料不出境”“OCSP 本地化”对采购方意味着什么？

政务、国企与等保 / 密评场景

国内对密码应用与数据处理的要求，是 KeepTrust 这类国产根品牌的主要使用背景。以下是采购时常被提及的规范，仅作背景说明：

• 《中华人民共和国密码法》（2020 年 1 月 1 日起施行）：规定法律、行政法规和国家有关规定要求使用商用密码进行保护的关键信息基础设施，其运营者应当使用商用密码进行保护，并开展商用密码应用安全性评估（密评）；
• GB/T 39786-2021《信息安全技术 信息系统密码应用基本要求》：密评的主要依据之一，从物理和环境、网络和通信、设备和计算、应用和数据等层面提出密码应用要求，HTTPS 传输加密属于网络和通信层面；
• GB/T 22239-2019《信息安全技术 网络安全等级保护基本要求》（等保 2.0）：要求在通信传输中采用校验技术或密码技术保证数据的完整性与保密性；
• 数据处理相关规定：《数据安全法》《个人信息保护法》对数据处理与出境作出规定，部分单位据此要求供应商在境内完成资料审核。

需要强调：选择 KeepTrust 国产根或国密证书，只能满足上述要求中与传输加密、资料处理相关的一部分；系统能否通过等保测评或密评，以测评机构对整个系统的评估结论为准。EncryptionSign 可以协助确认证书产品、证书链与部署方式，但不代替测评，也不对测评结果作出承诺。