Chrome 从哪里获取其证书颁发机构列表？

Question

在 Fedora 上，我指的是当您转到设置 > 管理证书 > 权限选项卡时显示的列表。

我读过它应该在 NSS 共享数据库中，但此命令返回一个空列表：

[laurent@localhost nssdb]$ certutil -d sql:$HOME/.pki/nssdb -L

Answer 1

这些是NSS内置证书。它们通过共享库提供：（/usr/lib/libnssckbi.so您系统上的路径可能不同）。这就是 Chrome 获取它们的地方。
你可以certutil像这样列出它们：

链接到库中~/.pki/nssdb：

ln -s /usr/lib/libnssckbi.so ~/.pki/nssdb

然后运行：

certutil -L -d sql:$HOME/.pki/nssdb/ -h 'Builtin Object Token'

输出：

Certificate Nickname                                         Trust Attributes
                                                             SSL,S/MIME,JAR/XPI

Builtin Object Token:GTE CyberTrust Global Root              C,C,C
Builtin Object Token:Thawte Server CA                        C,,C 
Builtin Object Token:Thawte Premium Server CA                C,,C 
Builtin Object Token:Equifax Secure CA                       C,C,C
Builtin Object Token:Digital Signature Trust Co. Global CA 1 C,C,C
Builtin Object Token:Digital Signature Trust Co. Global CA 3 C,C,C
Builtin Object Token:Verisign Class 3 Public Primary Certification Authority C,C,C
Builtin Object Token:Verisign Class 1 Public Primary Certification Authority - G2 ,C,  
Builtin Object Token:Verisign Class 2 Public Primary Certification Authority - G2 ,C,C 
Builtin Object Token:Verisign Class 3 Public Primary Certification Authority - G2 C,C,C
Builtin Object Token:GlobalSign Root CA                      C,C,C
Builtin Object Token:GlobalSign Root CA - R2                 C,C,C
Builtin Object Token:ValiCert Class 1 VA                     C,C,C
Builtin Object Token:ValiCert Class 2 VA                     C,C,C
Builtin Object Token:RSA Root Certificate 1                  C,C,C
..................................................................
..................................................................

Answer 2

它从底层操作系统获取它们。你可以在这里读到它：

• 根证书政策

摘自上述链接

Google Chrome 尝试使用底层操作系统的根证书存储来确定站点提供的 SSL 证书是否确实值得信赖，但有一些例外。

该页面继续描述如果您是各种操作系统等的根 CA 提供商，该联系谁。

参考

• Linux证书管理
• NSS共享数据库和LINUX