既然提到公私钥，我再问几个证书的问题

谢谢1楼的链接。原来我问得这些问题都是关于PKI体系的。
自己来回答一下
1、证书=公钥+主题（Subject，公钥的归属主）+CA信息（Issuer，有CA的信息）+CA的签名+扩展信息。
证书里不会有私钥。
2、CA 是证书颁发机构，生成、签名、吊销证书的机构。比如 GeoTrust、VeriSign 这样的机构。想要获得 CA 颁发的证书，需要先准备好证书请求（Cert Request，里面包含自己的公钥、主题、一些说明证书用途的字段），发给 CA，CA 把 Cert Request 里面的信息填到证书里，把 CA 自己的信息也填到颁发者里，然后用自己严格保密的私钥对证书进行签名，发回申请者。
3、CA 也分等级，最高一等叫根 CA，是由大众无条件信任的机构，根 CA 可以授权下级的中间 CA 给用户颁发证书。一个证书的信任链如下：（箭头表示信任）
大众 --> 根 CA --> 中间 CA --> 中间 CA --> ... --> 中间 CA --> 证书
4、X.509 是证书的保存格式的一种规定（Schema），规定证书文件里面要保存哪些数据。
5、上面描述的从根 CA 开始证书颁发、管理、吊销机制称为 PKI 体系。
6、都是 X.509 证书的具体保存方式的实现。比如有的是二进制方式存储，有的是 Base64 编码后存储。
.pem – (Privacy-enhanced Electronic Mail) Base64 encoded DER certificate, enclosed between "-----BEGIN CERTIFICATE-----" and "-----END CERTIFICATE-----"
.cer, .crt, .der – usually in binary DER form, but Base64-encoded certificates are common too (see .pem above)
.p7b, .p7c – PKCS#7 SignedData structure without data, just certificate(s) or CRL(s)
.p12 – PKCS#12, may contain certificate(s) (public) and private keys (password protected)
.pfx – PFX, predecessor of PKCS#12 (usually contains data in PKCS#12 format, e.g., with PFX files generated in IIS)
7、证书有颁发，也有吊销机制。每个 CA 都维护着一个证书吊销列表（CRL），里面存着还没到期但是由于种种原因被吊销的证书信息。每台设备（PC/手机等）都像 RSS 订阅那样，定时从服务器上取一份回来缓存起来。当发现证书虽然在有效期但是列入 CRL 时，不再信任证书。除了缓存 CRL，还有一种可以实时向服务器发起请求要求验证某证书是否有效的方法，叫做 OCSP。
所以当企业帐号被封之后，证书被吊销，iOS 客户端通过 CRL 或 OCSP 得知这一信息。但这里到底是 CRL 还是 OCSP，我还不太清楚。