瀏覽器和證書商店

Question

當連接到https服務器（Windows）時，瀏覽器在哪些證書存儲區中瀏覽器查找可信證書？

Answer 1

您需要特定瀏覽器使用的受信任根存儲中的根CA證書。這裏是一個簡單的谷歌搜索頁面，可能有所幫助：https://help.riseup.net/security/certificates/import/

瀏覽器確實不是需要在這裏找到服務器的證書。需要在此商店安裝的是根服務器證書（或證書鏈）簽名的根CA證書。

例如，如果服務器有證書S，並且S由「MY-ROOT-CA 「，那麼MY-ROOT-CA需要安裝在受信任的根存儲中。

如果服務器的證書S由中間CA「SOME-CA」簽名，並且SOME-CA由MY-ROOT-CA簽署，則只需要在瀏覽器機器上安裝MY-ROOT-CA在受信任的根存儲中。

如果S由SOME-CA簽名，那麼SOME-CA可能還需要安裝在瀏覽器計算機上的某處，但不一定在受信任的根存儲中。在這種情況下，服務器可能正在發送S和SOME-CA，甚至可能會發送MY-ROOT-CA。然而，無論這個證書鏈長得多，鏈中的每個鏈接都必須由服務器發送，或者存在於本地計算機上，但最後一個MY-ROOT-CA必須始終安裝，並且必須安裝在特殊的受信任根存儲。