SM2 双证书体系：签名证书与加密证书

国密 TLS/SSL VPN 通常使用双证书：签名证书用于身份鉴别与签名，加密证书用于密钥交换与数据加密；两证由 CA 分别签发，用途字段不同。

核验命令

# 查看证书用途与算法
openssl x509 -in sign.crt -noout -text | grep -A1 "Key Usage"
openssl x509 -in enc.crt -noout -text | grep -A1 "Key Usage"

签名证书密钥用于签名与验签，加密证书密钥用于加密与解密；发放与更新时应成对管理，避免单只更换导致握手失败。

‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌