操作系统将其自身作为认证机构包含在其附带的浏览器中是否合适？

Question

我只是想知道这是否是可疑的做法，考虑到操作系统供应商可能没有经过外部审计，例如关于私钥的安全性等。

有没有关于此类事情的“规则”的参考资料？

Answer 1

你认为他们对操作系统的其余部分足够信任，那为什么加密就不可信呢？如果他们想要后门，他们可以很容易地在任何地方添加一个。

例如，Apple 在 Keychain Access 中拥有两个 CA，与其他 161 个真正的 CA（如 Verisign）一样值得信赖（AOL 显然值得信赖……我不知道这一点）。我猜 Apple 经历了与其他 CA 相同的过程，但我怀疑这是否会得到公开证实。