![检查可疑(根 CA)证书](https://linux22.com/image/1307990/%E6%A3%80%E6%9F%A5%E5%8F%AF%E7%96%91%EF%BC%88%E6%A0%B9%20CA%EF%BC%89%E8%AF%81%E4%B9%A6.png)
我刚刚查看了我的证书存储区,发现一堆根 CA 看起来有点可疑;具体来说,有很多:
- 全部大写
- 使用外语/文本
- 保质期极长
- 包括所有可能的证书用途
我坚信其中有些是坏的(中级 CA列表看起来很干净,只有根 CA列表看起来很糟糕。)但是,存储中的证书足够多,因此调查每个证书都是一项真正的苦差事。(我在事件日志中看到 Windows 已经超过两周没有自动更新受信任的第三方根列表了。)
是否有人知道如何验证证书并剔除坏证书(或者至少手动触发更新)?
答案1
您可以通过运行来快速找出最初未包含的内容信号检查 sigcheck.exe -tv *
,它将您本地计算机中的根 CA 与从 Microsoft 下载的列表进行比较。然后输出差异。那些不是来自 Microsoft 的证书一定是您自己或某个软件(即用于 ssl 检查的防病毒软件)引入的。在我的情况下,只有一个我不认识并立即禁用它。
答案2
你可以看看Debian 的证书列表,并剔除那些不存在的;然后应用最新的Microsoft CA 更新并添加您手动安装的。但正如 Debian 所说:
请注意,此包中包含的证书颁发机构不会以任何方式接受可信度和 RFC 3647 合规性审核,评估这些证书的全部责任由本地系统管理员承担。