受信任的根证书奇迹般地安装到Windows

Question

在某些站点上，证书链无法构建到受信任的根证书，因为Windows不知道此受信任的根证书。但是，如果我们使用IE或Chrome访问此类网站，Windows会自动下载（验证）某个地方的受信任根，并将其静默安装到受信任的证书颁发机构存储中。在此之后，我们可以构建证书链直至新安装的根。如果我们手动从Windows存储中删除新下载的受信任根证书，则无法再重新构建链。

我知道权限信息访问扩展。问题是链中最高的可用证书（缺少可信根的孩子）没有包含这样的扩展名。即使有，Windows也不会自动信任下载的证书。

因此，必须有一些关于可信根的其他知识来源。问题是 - 我们如何自己使用这个来源。如果任何人有兴趣检查，最高可用证书可用here。

Answer 1

此链接http://support.microsoft.com/kb/931125介绍了Windows如何默默地更新根证书在Vista和7

Answer 2

证书包含名为“授权信息访问”的扩展，其中包含颁发CA的详细信息。下面显示了用于“https://gooogle.com”的证书示例。浏览器读取此值，从提供的URL下载证书并在证书链上重复该过程。