如何知道要在我的浏览器中保留哪些证书，以及要删除哪些证书

我想稍微加强一下安全性，所以我从浏览器中禁用了不需要的证书。例如，我显然不需要中国的“ WoSign CA Limited”证书，而我却需要“ Thawte Consulting cc”证书。

有什么办法可以查看我实际使用的证书，以便我可以开始做出明智的决定？以“ Trustis Limited”为例。我会在什么基础上决定保留还是保留它。此外，除了“ Thawte Consulting cc”外，还有“ thawte，Inc.”的证书。可能是一个欺骗吗？我怎么会知道？

— 多坦科恩
source

这是一个难题。您可能真的不知道哪个是合法的，甚至您也不知道将来需要哪个（您依赖的服务提供商可能会更改他们使用的CA，请参阅证书巡逻以获取有关使用频率的想法。 CA交换机）。安全社区中的某些人认为CA系统从根本上崩溃的原因之一。通常，大多数人都必须依靠mozilla（或组成您的证书存储区的任何人，在您的情况下可能是google）对他们收到申请的证书进行明智的测试。

— 乔纳斯·谢弗（JonasSchäfer）2014年

实际上，Certificate Patrol正是您想要的（即加上数周的使用时间）。但是，它不适用于google chrome。

— JonasSchäfer2014年

@JonasWielicki，这并不难。我们可以通过国家选择性阻断，那么当有一个问题，我们可以再决定我们是否要包括它放回列表中。首先禁止，白名单之后。

— Pacerier

@Pacerier我认为这并不容易。首先，如果您阻止了整个基于五眼的CA（如果我认真对待的话，我会这么做的），您将立即将其重新列入白名单。那里什么都没有赢。证书巡逻具有一个整洁的优点，它可以通知您证书中的“可疑”更改（例如，过早的证书更改或CA的更改）。

— 乔纳斯·谢弗

情节＃481的的安全吧！播客谈到证书透明度的相关主题。问题“我可以信任哪个CA？” 被替换为“已知哪些证书代表给定站点？”。

一旦RFC 6962中普遍部署它使我们能够检测“香港邮局CA”（又名，葡萄牙语政府）已发出欺诈证书www.gmail.com，你的前2015年的浏览器，否则愉快地接受。

数百个CA被信任向任何站点颁发证书的想法是疯狂的。

— 安德烈亚斯
source

显然，Firefox已经有一个补丁程序可以支持RFC 6962了一年，但是尚未被接受。

— dotancohen

您能否将虚构的例子明确引用为虚构的或提供引用？

— phoeagon 2015年