是否有一个程序可以检查 Firefox 中的根 CA 列表？

Question

动机这和这问题，我想问一下是否有办法检查是否有人恶意将其他证书添加到 Firefox 的根 CA 列表中。可能的方法有：

• 审查列表的附加组件/扩展
• 一种从 Firefox 内部导出所有受信任证书的方法，以及一个外部程序/网站，我可以在其中上传列表并检查是否有额外的证书。

我会在自己的机器和他人管理的机器上运行此验证。我很清楚，系统管理员可以通过安装重新编译的 Firefox 版本来绕过这些检查，而且根 CA 系统在许多其他方面都存在严重问题，但至少这是第一步。

Answer 1

您可以使用Certutil实用程序列出所有非默认根证书设置。

它是一个命令行工具，请在此处阅读更多信息：视窗&Unix。

您可以在以下说明中了解如何针对 Firefox 证书数据库运行它以及它的其他用途这里。

Mozilla Wiki 上的部分内容如下：

目前没有 UI 来列出所有您已覆盖默认信任设置的内置根证书。您可以使用 certutil 工具列出个人数据库中的所有证书，其中包括您已更改信任的内置根证书以及添加的根证书和许多其他类型的证书。

运行此命令（在 Mozilla 应用程序运行时执行此命令可能不受支持，但在实践中似乎不会导致问题）：

certutil -d PROFILE_DIR -L

还有一个错误报告可以添加您正在寻找的功能：

错误 545498 - 提供检测和管理根证书不一致的功能

不过，与此同时，您可以使用该工具提取您的设置并将您的证书与CA 证书列表与 Mozilla 软件产品一起发布，电子表格或者文本文件。