Корневой сертификат

Корневой сертификат — сертификат верхнего уровня в иерархии PKI, обычно выпущенный и подписанный тем же центром сертификации, которому он принадлежит. Доверие к нему устанавливается не его собственной подписью, а включением сертификата в доверенное хранилище операционной системы, браузера, устройства или приложения. При проверке сертификата сервера или пользователя клиент строит цепочку от конечного сертификата через промежуточные сертификаты до доверенного корневого. Помимо подписи, обычно проверяются срок действия, ограничения назначения ключа, соответствие сертификата проверяемому идентификатору, например имени TLS-сервера в subjectAltName, политики и сведения об отзыве, если они доступны и применимы. Корневые сертификаты используют публичные и корпоративные центры сертификации, TLS-инфраструктура, VPN, Wi‑Fi с аутентификацией, подпись кода и внутренние сервисы. Компрометация закрытого ключа корневого центра может затронуть все выданные им цепочки, поэтому ключ часто защищают аппаратно и используют ограниченно. Корневой сертификат отличается от сертификата центра сертификации вообще: CA-сертификат может быть промежуточным и подписываться вышестоящим CA. Он также не равен сертификату сервера, который подтверждает конкретное имя или субъект и обычно не выпускает другие сертификаты.