如何在 IE 受信任的根证书颁发机构存储中自动安装自签名证书

Question

我创建了一个自签名证书，但浏览器告诉我“此 CA 根证书不受信任。要启用信任，请在受信任的根证书颁发机构存储中安装此证书”。

我通过进入 IE -->互联网选项 -->内容-->证书-->等等...我实际上必须导出自签名证书，然后将其导入受信任的根证书。仅当证书位于用户计算机的 ROOT 存储下后，IE 才不会显示任何警告。

这将部署在生产环境中，因此让用户手动执行上述步骤是不可接受的。

我怎样才能自动执行此操作？我只是希望他们接受并且不要出现“证书错误”并将 IE 中的 URL 栏变成“红色”。

我正在使用 Tomcat 5.5。我还按照 Tomcat SSL 如何教程 http:// /tomcat.apache.org/tomcat-5.5-doc/ssl-howto.html

提前致谢。

Answer 1

Java 6 提供了一个名为 SunMSCAPI 的加密提供程序来访问 Windows 加密库 API。该提供程序实现了包含所有信任锚证书的密钥库“Windows-Root”。

可以在此密钥库中插入证书。

KeyStore root = KeyStore.getInstance("Windows-ROOT");
root.load(null);
/* certificate must be DER-encoded */
FileInputStream in = new FileInputStream("C:/path/to/root/cert/root.der");
X509Certificate cacert = (X509Certificate)CertificateFactory.getInstance("X.509").generateCertificate(in);
root.setCertificateEntry("CACert Root CA", cacert);

将提示用户是否确认。如果用户取消该操作，则会引发 KeyStoreException。

有关提供程序的一些技术说明可以在这里找到： http ://download.oracle.com/javase/6/docs/technotes/guides/security/SunProviders.html#SunMSCAPI

Answer 2

想一想。如果这是可能的，那么什么可以阻止任何欺诈网站做同样的事情并使他们的网站看起来像是受信任的呢？重点是用户必须确定证书安装。

Answer 3

首先，这样做的可能性会损害用户的安全，因此这将是一个安全漏洞，所以不，没有简单的方法可以做到这一点。

其次，不同的软件有不同的证书存储。 Microsoft 和 Chrome 浏览器使用 CryptoAPI 商店，Firefox 有自己的商店（Chrome 也可以使用 Firefox 的一个 AFAIK）。 Adobe 的软件有自己的商店（除了 CryptoAPI 商店）。