以 Verisign 的网站为例，它有一个带有 sha1 哈希签名的根 CA。我是否错误地理解为发现冲突，他们可以模拟 Verisign 根 CA，并使用它来生成浏览器或操作系统信任的中间证书和服务器证书。
https://www.entrust.com/need-sha-2-signed-root-certificates/ 指出：
简而言之，由于软件直接信任根证书公钥，因此不会验证根证书上的签名。根证书是自签名的，不是由另一个已被授予权限的实体签名的。根证书通过操作系统或浏览器开发者管理的根证书程序获得授权。
并引用 Google 链接：https : //security.googleblog.com/2014/09/gradually-sunsetting-sha-1.html
注意：可信根证书的基于 SHA-1 的签名不是问题，因为 TLS 客户端通过他们的身份而不是他们的哈希签名来信任它们
假设我是一个新浏览器 - SuperUserBrowser 的作者。除了哈希签名之外，我还能如何相信我的浏览器附带的根证书是真实的？
为什么具有 SHA1 签名的根 CA“不是问题”？