在Windows XP上安装自签名证书作为受信任的根证书

Question

我已经成功地将一个自签名证书安装到了Windows 7上。 安装过程是首先将它安装到受信任的根证书颁发机构（本地计算机），然后再将其安装到受信任的个人（本地计算机）。 （如果不将其安装到受信任的个人，Internet Explorer 11仍然会发出警告，指出它无法得到受信任的证书颁发机构的验证。）

我尝试在一台Windows XP机器上重复同样的过程（是的，即使在支持结束后，它们仍然存在 :），但没有成功。 我仍然收到一个警告，说证书不能被验证为受信任的证书颁发机构所颁发。 当我查看Internet Explorer 8显示的证书时，证书本身丢失了（尽管在certmgr.msc中查看时，我可以看到该证书）。 由于某种原因，Internet Explorer选择忽略这个证书。 有什么想法吗？

- yoshpe

Answer 1

在Windows证书管理器(certmgr.msc)中查看证书时，Windows显示“没有足够的信息验证此证书”。 当查看证书路径时，显示的唯一证书是该证书本身(带有黄色惊叹号)，证书状态指出：“无法找到此证书的发行者”。

我仔细查看了有问题的证书的详细信息，以找出它与其他证书的区别所在。发行者的名称显然是正确的，所以这不是问题所在。引起我的注意的字段是“权威信息访问”。原因是它包含额外的数据，其中包括“URL=http:...name_of_domain.cer”的链接，这是组织使用的内部网络。我已经从内部网络下载了该证书并将其安装在客户机上。证书变得有效，现在在“认证路径”中显示两个证书。

结论是，Windows XP存在两个愚蠢的原因： 1. 仅安装具有可信根证书链的证书对于Windows XP而言是不够的。它会尝试验证根证书链直至其顶端。（这没有太多意义，因为它应该是一个根证书，而且Windows 7不遵循这种行为并接受该证书作为有效证书）。 2. 由于两个证书持有相同的通用名称，Windows XP未能显示原始证书具有链的事实，并使跟踪问题变得更加困难。

希望这对于将来遇到此类问题的人有所帮助。 (或者没有，因为我们都知道Windows XP已经不再受支持了 :) )

- yoshpe