受信任的根證書奇蹟般地安裝到Windows

Question

在某些站點上，證書鏈無法構建到受信任的根證書，因爲Windows不知道此受信任的根證書。但是，如果我們使用IE或Chrome訪問此類網站，Windows會自動下載（驗證）某個地方的受信任根，並將其靜默安裝到受信任的證書頒發機構存儲中。在此之後，我們可以構建證書鏈直至新安裝的根。如果我們手動從Windows存儲中刪除新下載的受信任根證書，則無法再重新構建鏈。

我知道權限信息訪問擴展。問題是鏈中最高的可用證書（缺少可信根的孩子）沒有包含這樣的擴展名。即使有，Windows也不會自動信任下載的證書。

因此，必須有一些關於可信根的其他知識來源。問題是 - 我們如何自己使用這個來源。如果任何人有興趣檢查，最高可用證書可用here。

Answer 1

此鏈接http://support.microsoft.com/kb/931125介紹了Windows如何默默地更新根證書在Vista和7

Answer 2

證書包含名爲「授權信息訪問」的擴展，其中包含頒發CA的詳細信息。下面顯示了用於「https://gooogle.com」的證書示例。瀏覽器讀取此值，從提供的URL下載證書並在證書鏈上重複該過程。