幣安 SSL 證書鏈核對：DigiCert 主鏈與 OCSP 狀態實操

幣安 SSL 證書鏈核對完整實操：openssl s_client 抓取、DigiCert 與 Sectigo 主鏈驗證、OCSP Stapling 狀態判定、Let's Encrypt 警惕規則、證書透明度 CT 日誌核對。BiabaCore 給出命令列到瀏覽器的雙通道 SOP。

發布於 2026-07-09 · 約 14 分鐘 · 真偽辨識

幣安 SSL 證書鏈核對在 2026 年的真偽辨識 5 維度裡承擔的是"證據鏈底層"角色——只要證書鏈有一項不對，域名再像也不能透過。BiabaCore 把命令列 openssl 抓取、瀏覽器鎖標點選、DigiCert 主鏈結構、OCSP Stapling 判定、Let's Encrypt 警惕規則、證書透明度 CT 日誌查詢六個環節做了完整梳理，任何具備基礎命令列能力的使用者都可以在 5 分鐘內完成一次核對。真偽辨識總綱見 /docs/binance-official-url-2026/；官方入口從 幣安官網 或 下載頁 進入。

一、幣安證書鏈結構總覽

A：幣安主域 binance.com 在 2026 年的證書鏈是三級結構：葉子證書由 DigiCert Global G2 中間 CA 簽發，中間 CA 由 DigiCert Global Root G2 根證書籤發，根證書內建於所有主流作業系統。任何脫離這條主鏈的證書都是異常訊號。

三級證書鏈

層級 名稱 有效期 簽名演算法
根證書 DigiCert Global Root G2 2038-01-15 到期 SHA256RSA
中間證書 DigiCert Global G2 TLS RSA SHA256 2020 CA1 2030-03-30 到期 SHA256RSA
葉子證書 *.binance.com / binance.com 通常 1 年 SHA256RSA

備用簽發方

BiabaCore 在 2026 上半年也觀察到少量幣安子域使用 Sectigo RSA Domain Validation Secure Server CA 簽發，主要用在 academy.binance.com 等文件站。核心交易域名如 binance.com、accounts.binance.com 仍固定走 DigiCert 鏈。

證書主體（Subject）欄位

  • CN: *.binance.com
  • O: Binance Holdings Limited
  • L: 依合規主體所在地
  • C: KY / MT / AE 等（幣安集團註冊地）

A：Subject 的 O 欄位是"Binance Holdings Limited"，任何 O 欄位為空或寫著個人姓名、無關公司的都判定為偽造。

二、openssl s_client 抓取命令

A：openssl s_client 是最直接、最可靠的證書鏈抓取工具，跨 Windows/macOS/Linux 都可用，抓到的資料可以離線分析。

基礎抓取命令

openssl s_client -connect binance.com:443 -servername binance.com -showcerts < /dev/null

Windows 上如沒有 openssl 可以從 https://slproweb.com/products/Win32OpenSSL.html 下載。macOS 自帶 LibreSSL，可以直接用 brew install openssl 換為原版 OpenSSL。

輸出解讀

命令輸出會包含：

  1. Server certificate 段：葉子證書 PEM 編碼
  2. Certificate chain 段：完整鏈的每一層
  3. Verify return code：鏈驗證結果（0 表示透過）
  4. SSL Session 段：TLS 版本、密碼套件

抓單張證書用於比對

openssl s_client -connect binance.com:443 -servername binance.com < /dev/null 2>/dev/null | openssl x509 -outform PEM > binance.pem

得到 binance.pem 檔案後可以離線用 openssl x509 -in binance.pem -text -noout 檢視完整欄位。

抓取 SHA-256 指紋

openssl x509 -in binance.pem -fingerprint -sha256 -noout

輸出的指紋應與已知官方樣本比對。BiabaCore 情報庫每月釋出一次已知有效證書指紋清單。

三、DigiCert 主鏈驗證

A：DigiCert Global Root G2 的 SHA-256 指紋是固定的：cb:3c:cb:b7:60:31:e5:e0:13:8f:8d:d3:9a:23:f9:de:47:ff:c3:5e:43:c1:14:4c:ea:27:d4:6a:5a:b1:cb:5f。核對這條指紋是確認根證書未被替換的關鍵。

中間 CA 指紋核對表

中間 CA 名稱 SHA-256 指紋前 8 位元組
DigiCert Global G2 TLS RSA SHA256 2020 CA1 1e:44:3c:2c:14:52:f4:1d
DigiCert Global G3 TLS ECC e8:78:8a:03:87:b8:f3:d3
DigiCert TLS RSA SHA256 2020 CA1 3f:66:f9:b3:71:1b:60:d5

抓到的中間證書 SHA-256 前 8 位元組應命中上表其中之一。若無命中，說明證書鏈被替換。

鏈完整性驗證

openssl verify -CAfile /etc/ssl/certs/ca-bundle.crt -untrusted intermediate.pem leaf.pem

輸出 OK 說明鏈完整，任何 unable to get local issuer certificate 或 certificate verify failed 都要拒絕。

四、OCSP Stapling 狀態判定

A：OCSP Stapling 是伺服器主動把 OCSP 響應打包在 TLS 握手裡的機制，2026 年幣安主站已全面啟用。抓到的 OCSP 響應應顯示 Cert Status: good。

抓 OCSP Stapling

openssl s_client -connect binance.com:443 -status < /dev/null 2>/dev/null | grep -A 10 "OCSP response"

期望輸出片段：

OCSP Response Status: successful (0x0)
Response Type: Basic OCSP Response
Cert Status: good

OCSP 狀態含義

狀態 含義 處置
good 證書有效 透過
revoked 已吊銷 直接拒絕
unknown CA 不認識該證書 高度可疑，拒絕
無 OCSP 響應 伺服器未開啟 Stapling 需要人工二次核對

A：如果抓到的響應是 revoked 或 unknown，即便域名與葉子證書看起來正常，也必須拒絕。攻擊者可能拿到了過期或被吊銷的合法證書重放。

無 Stapling 時的獨立 OCSP 查詢

openssl ocsp -issuer intermediate.pem -cert leaf.pem -text -url http://ocsp.digicert.com

需要用 -url 指定 CA 的 OCSP 端點。DigiCert 的端點是 http://ocsp.digicert.com，Sectigo 是 http://ocsp.sectigo.com。

五、Let's Encrypt 警惕規則

A：幣安主站與核心子域在 2026 年不使用 Let's Encrypt，任何抓到葉子證書 Issuer 為 Let's Encrypt Authority 的都應視為高度可疑訊號。

判定 Let's Encrypt 的三個欄位

  1. Issuer CN 含 "Let's Encrypt"
  2. Issuer O 為 "Let's Encrypt"
  3. 證書有效期為 90 天（Let's Encrypt 強制上限）

為什麼 Let's Encrypt 高度可疑

Let's Encrypt 是免費自動化 CA，任何域名都能在 30 秒內簽發。釣魚站幾乎 93% 使用 Let's Encrypt（資料參考 /docs/binance-phishing-domain-yearly-stats/）。幣安作為合規交易所必然採購付費擴充套件驗證證書，不會走免費自動化 CA。

極少數例外

某些非交易性質子域（如某個市場活動一次性子域）可能短期使用 Let's Encrypt。BiabaCore 建議：

  • 核心域（binance.com / accounts.binance.com / api.binance.com）絕不允許 Let's Encrypt
  • 邊緣子域出現 Let's Encrypt 時要求組合 5 維度中的 ASN 歸屬做二次核對

六、證書透明度 CT 日誌

A：證書透明度（Certificate Transparency）日誌是所有公開簽發的 SSL 證書都必須提交的公開日誌，任何人可以在 crt.sh 或 Google CT 查詢到某域名歷史上簽發過的所有證書。這是識別可疑證書的另一條獨立通道。

crt.sh 查詢流程

  1. 開啟 https://crt.sh
  2. 輸入 binance.com
  3. 檢視返回的證書列表
  4. 核對最新一張證書的 Issuer 與你抓到的是否一致
  5. 核對簽發時間是否落在合理視窗

CT 日誌能發現的攻擊

  • 攻擊者用被盜 API 從合法 CA 簽發的偽造證書
  • 域名劫持後短期插入的自簽證書
  • 中間人代理臨時簽發的證書

CT 日誌核對啟發式

觀察 判定
抓到的證書序列號在 crt.sh 上找不到 極高風險，可能是本地偽造
crt.sh 上最新證書與抓到的不一致 高風險，可能是中間人
crt.sh 顯示某天集中籤發多張短期證書 中風險，可能是攻擊嘗試
抓到的證書在 CT 日誌有多年曆史 正常

七、瀏覽器鎖標核對（無命令列版本）

A：如果不方便命令列，瀏覽器鎖標也能完成基礎核對——但只能看到 Issuer 與主體，看不到 OCSP 與 CT 詳情。

Chrome 核對步驟

  1. 點選位址列鎖標
  2. 選擇 "Connection is secure"
  3. 選擇 "Certificate is valid"
  4. 在彈窗切到 "Details"
  5. 檢視 Issuer Name 與 Subject Name

Firefox 核對步驟

  1. 點選位址列鎖標
  2. 點選 ">"
  3. 選擇 "More Information"
  4. 點選 "View Certificate"
  5. 在新標籤檢視完整證書詳情

瀏覽器核對能查到的欄位

欄位 Chrome Firefox Safari
Issuer 名稱 支援 支援 支援
Subject O 欄位 支援 支援 需展開
SHA-256 指紋 支援 支援 支援
OCSP 狀態 不支援 部分支援 不支援
CT 日誌 支援 支援 不支援

八、企業級證書釘扎方案

A：BiabaCore 推薦大額賬戶與企業級使用者在裝置上啟用證書釘扎（Certificate Pinning），透過內部代理層強制校驗幣安證書的 SHA-256 指紋。

釘扎方案

  1. 在企業代理層（如 Squid、mitmproxy）載入已知有效指紋清單
  2. 建立指紋資料庫並定期從多臺裝置交叉抓取比對
  3. 遇到指紋變化時觸發人工二次核對
  4. 更新週期設定為每 30 天核對一次（詳見 /docs/binance-official-url-2026/ 中的複核週期）

桌面 App 內建釘扎

幣安官方App 在 2026 年桌面版已內建證書釘扎，無需使用者手動配置。這是使用桌面端而非純瀏覽器的另一個安全收益。

九、賬戶繫結與真偽聯動

如果你還沒有賬戶，先透過 立即註冊 完成 KYC，再學習證書核對。已有賬戶的使用者建議把本篇文章加入書籤作為定期複核依據。

風險提示：SSL 證書鏈只是 5 維度裡的一維，即便證書透過也仍需核對域名指紋、ASN、安裝包簽名、跳轉鏈路（見 /docs/binance-official-url-2026/）。BiabaCore 內部標準是 5 維度全過才放行。

十、常見問答

問：抓到證書 Issuer 是 Let's Encrypt 一定是釣魚嗎？

A：核心域是則大機率是釣魚。binance.com / accounts.binance.com / api.binance.com 使用 Let's Encrypt 與官方策略不符。邊緣子域可能有例外，需要組合 ASN 與域名指紋二次核對。

問：openssl 在 Windows 上怎麼裝？

A：從 https://slproweb.com/products/Win32OpenSSL.html 下載 Win64 OpenSSL Light 版本即可，安裝後在 PowerShell 或 CMD 裡直接呼叫 openssl.exe。也可以使用 Git for Windows 附帶的 openssl。

問：OCSP Stapling 顯示無響應會不會誤傷官方？

A：極少數情況官方也可能因為負載調整臨時關閉 Stapling，此時用獨立 OCSP 查詢 openssl ocsp -issuer ... -url http://ocsp.digicert.com 補齊即可。

問：CT 日誌上有多張 binance.com 證書正常嗎？

A：正常。幣安在多個子域上籤發證書，每次續簽也會新增一條記錄。crt.sh 上歷史累計通常有數十到上百條。異常訊號是"最新一張與抓到的不一致"或"抓到的在 CT 上完全沒有"。

問：幣安主站 TLS 版本是多少？

A：2026 年幣安主站僅支援 TLS 1.2 與 TLS 1.3，TLS 1.0/1.1 已完全停用。密碼套件為 AEAD 類（AES-GCM 或 ChaCha20-Poly1305），任何抓到的舊套件都是異常訊號。

問：普通使用者每次訪問都要核對證書嗎？

A：不需要。日常訪問信任瀏覽器鎖標即可，只有在以下場景需要主動核對：新裝置首次訪問、疑似釣魚站、切換網路後（如接入公共 WiFi）、月度複核。

問：證書核對透過後可以永久信任嗎？

A：不能。證書本身會續簽、CA 會調整、攻擊者也會隨時嘗試新策略。BiabaCore 內部標準是每 30 天覆核一次。更多相關規範見 /docs/binance-anti-phishing-real-fake/ 與 /docs/binance-app-download-2026-latest/。

文件釋出於 2026-07-09，下次複測計劃 2026-10-09。