浏览器和证书存储

Question

当浏览器将其与连接到 https 服务器 (windows) 时收到的证书进行比较时，浏览器会在哪些证书存储中查找受信任的证书？

Answer 1

您需要特定浏览器使用的受信任根存储中的根 CA 证书。这是一个简单的 Google 搜索页面，可能会有帮助:https://help.riseup.net/security/certificates/import/

浏览器不需要在这里找到服务器的证书。需要在此存储中安装的是签署服务器证书(或证书链)的根 CA 证书。

例如，如果服务器有一个证书S，并且S是由“MY-ROOT-CA”签名的，那么MY-ROOT-CA需要安装在受信任的根存储中。

如果服务器的证书 S 由中间 CA“SOME-CA”签名，而 SOME-CA 由 MY-ROOT-CA 签名，那么同样只需要在浏览器机器上安装 MY-ROOT-CA受信任的根存储。

如果 S 由 SOME-CA 签名，那么 SOME-CA 可能还需要安装在浏览器机器的某个地方，但不一定在受信任的根存储中。在这种情况下，服务器可能同时发送 S 和 SOME-CA，甚至可能发送 MY-ROOT-CA。无论这个证书链有多长，链中的每个链接都必须由服务器发送，或者出现在本地机器上，但是最后一个 MY-ROOT-CA 总是必须安装，并且它在特殊的受信任根存储中.